Datenleck oder Datenmissbrauch: steht mir Schadensersatz nach der DSGVO zu?

Wer sich mit dem Thema DSGVO-Schadensersatz beschäftigt, hat meist schon ein konkretes Problem, und die erste Frage ist selten die nach dem Recht, sondern die nach dem Risiko: Was kostet es, sich zu wehren, und was kostet es, zu verlieren? Hier stehen die Antworten mit Zahlen, dazu die Deckungsfrage für die Rechtsschutzversicherung.

Die rechtliche Ausgangslage: Artikel 82 DSGVO gibt jedem einen Anspruch auf Ersatz auch des immateriellen Schadens, wenn seine Daten rechtswidrig verarbeitet wurden, und die Rechtsprechung hat die Hürden zuletzt präzisiert. Der Europäische Gerichtshof entschied 2023: Eine Bagatellgrenze gibt es nicht, aber der bloße Verstoß genügt auch nicht, ein konkreter Schaden muss dargelegt werden, wobei schon die begründete Angst vor Missbrauch reichen kann. Der Bundesgerichtshof hat im November 2024 im Facebook-Scraping-Verfahren nachgelegt: Der bloße Verlust der Kontrolle über die eigenen Daten ist ein Schaden, ohne dass spürbare Folgen bewiesen werden müssen, angemessen sind dann allerdings überschaubare Beträge um die 100 Euro. Mehr gibt es, wo mehr passiert ist: bei einer falschen Negativmeldung an die Schufa, bei sensiblen Gesundheitsdaten im falschen Verteiler oder wenn dem Datenleck echte Belästigung und Betrugsversuche folgen. Der erste Hebel ist fast immer die Auskunft nach Artikel 15 DSGVO, kostenlos und binnen eines Monats zu beantworten: Sie zwingt das Unternehmen offenzulegen, welche Daten betroffen sind, und schon die verweigerte oder verspätete Auskunft ist ein eigener Verstoß.

Die Kostenrechnung beginnt beim Streitwert, hier 1.500 Euro: immaterieller Schadensersatz nach Artikel 82 DSGVO, im Beispiel 1.500 Euro, im Rahmen dessen, was deutsche Gerichte je nach Schwere zwischen etwa 100 und 5.000 Euro zusprechen. Alles Weitere ist Tabellenarbeit nach RVG und GKG in der seit 1. Juni 2025 geltenden Fassung.

Die drei Posten der Beispielrechnung: anwaltliches Schreiben und Verhandlung außergerichtlich 231,87 Euro, Klage in erster Instanz beim eigenen Anwalt 423,94 Euro, Gerichtskosten 246,00 Euro, als Vorschuss fällig.

Verlieren kostet 1.093,88 Euro, alle Positionen zusammengerechnet. Erst diese Zahl macht verständlich, warum die Gegenseite auf Zermürbung setzen kann, und was eine Deckungszusage psychologisch verändert.

Was die Rechtsschutzversicherung hier leistet: Die Geltendmachung läuft als zivile Schadensersatzforderung über den Privat-Baustein, von der Auskunft über das Anspruchsschreiben bis zur Klage. Bei den typischen Streitwerten bleibt das Kostenrisiko klein, entscheidend ist eher die Deckungszusage für die Klage, wenn das Unternehmen mauert. Vorsicht bei Abtretungsmodellen von Klageportalen: Wer seinen Anspruch verkauft, bekommt oft nur einen Bruchteil, mit eigener Police und eigenem Anwalt bleibt der volle Betrag beim Betroffenen.

Timing ist beim Rechtsschutz alles: 3 Monate Wartezeit in den meisten Bausteinen, keine Deckung für Konflikte, deren Ursache vor Vertragsbeginn liegt. Ausnahmen gibt es je nach Tarif, etwa im Verkehrs-Rechtsschutz ohne Wartezeit. Die Faustregel gilt auch bei DSGVO-Schadensersatz: erst versichern, dann streiten, nie umgekehrt.

Der Jahresbeitrag eines soliden Kombi-Tarifs (Privat, Beruf, Verkehr) liegt 2026 zwischen etwa 200 und 350 Euro, je nach Selbstbeteiligung. Ob der hier nötige Baustein Privat-Rechtsschutz zum Grundpaket gehört oder extra kostet, unterscheidet sich je nach Anbieter, genau das prüfen wir in der Beratung.

Die ersten Schritte in der richtigen Reihenfolge: erstens alle Unterlagen zum Thema DSGVO-Schadensersatz sichern und chronologisch ordnen, zweitens die laufenden Fristen notieren, drittens die Deckungsanfrage für den Baustein Privat-Rechtsschutz stellen und die anwaltliche Ersteinschätzung einholen. Erst danach fallen Entscheidungen, nicht unter Druck am ersten Tag.

Aus der Beratungspraxis: Zuerst die Auskunft nach Artikel 15 verlangen und die Monatsfrist notieren, denn die Antwort liefert die Munition für alles Weitere. Jede Folge dokumentieren, von Spam-Wellen über Phishing-Anrufe bis zu schlaflosen Nächten, konkret geschilderte Folgen heben den Betrag spürbar über die 100-Euro-Linie. Und bei Schufa-Fällen beides fahren: Löschung der falschen Meldung und Schadensersatz, die Kombination erzeugt den Druck, den ein einzelnes Schreiben nicht hat.

Was diese Zahlen sind und was nicht: der gesetzliche Normalfall bei DSGVO-Schadensersatz, gerechnet mit einem typischen Streitwert, nicht Ihr konkreter Kostenvoranschlag. Vergleichsgebühren, Beweisaufnahmen und weitere Instanzen verändern jede Rechnung. Wozu die Seite trotzdem taugt: das Risiko ehrlich beziffern, bevor Sie entscheiden, ob Sie es versichern.