---
title: "DSGVO-Schadensersatz 2026: Was Ihnen nach BGH zusteht"
description: "DSGVO-Schadensersatz nach Art. 82: Höhe-Tabelle, BGH-Urteile 2024/2025, Vorlage Anspruchsschreiben. Anspruchs-Ampel in 2 Min. -- ab 4,99 EUR statt 250 EUR."
category: "Datenschutz"
date: 2026-05-15
author: "Lulius Redaktion"
canonical: https://www.lulius.ai/blog/dsgvo-schadensersatz
license: "Rechtsinformation, keine Rechtsberatung im Sinne des RDG"
---
Datenschutz·15. Mai 2026·11 Min. Lesezeit

# DSGVO-Schadensersatz 2026: Was Ihnen nach Art. 82 wirklich zusteht

Kurzantwort

Nach Art. 82 DSGVO steht Ihnen Schadensersatz zu, wenn ein DSGVO-Verstoß, ein konkreter Schaden und Kausalität vorliegen. Seit BGH VI ZR 10/24 (18.11.2024) genügt bereits der bloße Kontrollverlust über Ihre Daten; der Richtwert liegt bei rund 100 EUR pro Vorfall, in sensibleren Fällen bei 500 bis 5.000 EUR. Der Anspruch verjährt nach drei Jahren (§ 195 BGB).

L

Lulius Redaktion

Redaktion für deutsches Recht

Sandra K. aus Köln öffnet im April 2026 einen Brief. Eine Sammelklagen-Plattform schreibt ihr: Ihre Telefonnummer und ihr Geburtsdatum wurden 2019 aus Facebook gescraped und sind seither in einschlägigen Foren öffentlich verknüpft. Sandra fragt sich das, was Hunderttausende Betroffene gerade fragen: Steht mir Geld zu — und wie viel?

Die Antwort hat sich seit November 2024 fundamental verändert. Der **DSGVO-Schadensersatz** nach **Art. 82 DSGVO** ist nach der aktuellen [BGH-Linie](https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2024/2024218.html) heute deutlich einfacher durchsetzbar als noch vor zwei Jahren. Schon der bloße Kontrollverlust über Ihre Daten ist ein ersatzfähiger immaterieller Schaden. Der indikative Richtwert liegt bei rund **100 EUR pro Vorfall**; in sensibleren Konstellationen sind **500 bis 5.000 EUR** realistisch. Der EuGH hat zusätzlich jede Bagatellgrenze abgeschafft (C-300/21, 04.05.2023).

In diesem Ratgeber zum **DSGVO-Schadensersatz** erfahren Sie:

- —Die aktuelle **BGH-Linie 2024/2025** und was sich gegenüber der Vorzeit geändert hat

- —Eine **Höhe-Tabelle** mit Spannen pro Schadensart und belegender Rechtsprechung

- —Den **Drei-Wege-Vergleich** Sammelklage gegen Anwalt gegen Lulius-Selbstklage

- —Eine **Vorlage** für das Anspruchsschreiben mit präziser Zitation aktueller BGH-Urteile

- —Die **Verjährung von 3 Jahren** und wann sie wirklich beginnt

**Unsicher, ob Art. 82 DSGVO Ihren Fall trägt?** [Lulius prüft Ihre Situation in 2 Minuten — ab 4,99 EUR pro Frage](https://www.lulius.ai/registrieren?plan=verbraucher), mit Anspruchs-Ampel, Höhe-Indikation und aktueller BGH-Zitation.

## Was ist DSGVO-Schadensersatz nach Art. 82 DSGVO?

Der **DSGVO-Schadensersatz** ist ein einklagbarer Anspruch auf Geldzahlung, wenn ein Verantwortlicher gegen die [Datenschutz-Grundverordnung](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679) verstößt und Ihnen daraus ein Schaden entsteht. Geregelt ist er in **Art. 82 Abs. 1 DSGVO**. Der Anspruch umfasst sowohl materielle als auch immaterielle Schäden — und nach **Erwägungsgrund 146** ist der Schadensbegriff ausdrücklich „weit auszulegen“.

Drei kumulative Voraussetzungen müssen vorliegen:

- —**Verstoß** gegen die DSGVO (etwa Art. 4 Nr. 12, Art. 5, Art. 6 DSGVO)

- —**Konkreter Schaden** materiell oder immateriell

- —**Kausalität** zwischen Verstoß und Schaden

Hinzu kommt eine vierte Hürde auf Seiten des Verantwortlichen: Er kann sich nach **Art. 82 Abs. 3 DSGVO** nur entlasten, wenn er nachweist, dass er das schädigende Ereignis „in keinerlei Hinsicht zu vertreten“ hat. Diese Hürde ist in der Praxis sehr hoch.

### Wer haftet — und wie?

Nach **Art. 82 Abs. 2 DSGVO** haftet primär der Verantwortliche für die Verarbeitung. Sind mehrere Verantwortliche oder Auftragsverarbeiter beteiligt, ordnet **Art. 82 Abs. 4 DSGVO** eine **gesamtschuldnerische Haftung** an: Sie können die volle Summe von jedem Beteiligten verlangen. Der interne Regress läuft dann nach Abs. 5 zwischen den Verantwortlichen.

### Materieller gegen immateriellen Schaden

**Materieller Schaden** ist jeder bezifferbare Vermögensschaden — etwa Folgekosten nach Identitätsdiebstahl, Anwaltskosten zur Beweissicherung, Reklamations-Aufwand oder entgangener Geschäftsabschluss durch Reputationsschaden.

**Immaterieller Schaden** umfasst Kontrollverlust, begründete Befürchtung des Missbrauchs, psychische Belastung und Rufschaden. Genau hier setzt die aktuelle BGH-Rechtsprechung an.

### Was ist eine Datenschutzverletzung (Art. 4 Nr. 12 DSGVO)?

Eine **Verletzung des Schutzes personenbezogener Daten** liegt nach **Art. 4 Nr. 12 DSGVO** vor, wenn personenbezogene Daten vernichtet, verloren, verändert, unbefugt offengelegt oder unbefugt zugänglich gemacht werden. Praktische Beispiele:

- —Hacker-Angriff auf eine Kundendatenbank

- —Versehentlich an alle Empfänger geschickte E-Mail mit Klarnamen-CC

- —Verlorener oder gestohlener USB-Stick mit Personaldaten

- —Innentäter mit unberechtigtem Zugriff auf Personalakten

- —Scraping öffentlich zugänglicher Profilfelder mit unbegrenztem Empfängerkreis

Bei Verstößen ist der Verantwortliche nach **Art. 33 DSGVO** verpflichtet, die Aufsichtsbehörde binnen 72 Stunden zu informieren. Bei hohem Risiko muss er Sie nach **Art. 34 DSGVO** sogar persönlich benachrichtigen. Dieses Benachrichtigungsschreiben ist später ein zentraler Beweisanker für Ihren Schadensersatz-Anspruch.

## Was hat sich nach BGH 11/2024 und 02/2025 geändert?

Dies ist der entscheidende Abschnitt für alle, die einen alten Verbraucher-Ratgeber gelesen haben. **Vor November 2024** dominierte in der deutschen Instanzrechtsprechung die Auffassung, ein DSGVO-Schadensersatz setze einen konkreten, spürbaren Missbrauch voraus. Diese Auffassung ist seit dem 18. November 2024 nicht mehr Stand der Rechtsprechung.

### BGH VI ZR 10/24 vom 18.11.2024 (Facebook-Scraping-Pilotverfahren)

Der Bundesgerichtshof hat in seinem [Leiturteil VI ZR 10/24](https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2024/2024218.html) klargestellt: Bereits ein **bloßer und vorübergehender Kontrollverlust** über personenbezogene Daten begründet einen ersatzfähigen immateriellen Schaden nach Art. 82 DSGVO. Ein konkreter Missbrauch oder zusätzliche spürbare Folgen sind nicht erforderlich. Die indikative Größenordnung: rund **100 EUR pro Vorfall**.

Die Bemessungsfaktoren laut BGH:

- —**Sensibilität der Daten** (Standardprofildaten vs. Gesundheits- oder Finanzdaten)

- —**Empfängerkreis** (begrenzt vs. unbegrenzt, etwa öffentlich im Netz)

- —**Dauer** des Kontrollverlusts

- —**Reaktion** des Verantwortlichen und Möglichkeit der Wiedererlangung

### BGH VI ZR 365/22 vom 11.02.2025 (Personalakte, Beweismaß)

Der zweite BGH-Senat bestätigte die Linie aus VI ZR 10/24 und präzisierte das **Beweismaß**: Auch die unbefugte Bearbeitung einer Personalakte durch Dritte begründet einen ersatzfähigen Schaden — selbst wenn die handelnden Personen unter Verschwiegenheitspflicht stehen. Damit ist klargestellt, dass auch interne DSGVO-Verstöße innerhalb einer Organisation Schadensersatz auslösen.

### BAG-Urteil vom 20.02.2025 (Beschäftigten-Differenzierung)

Wichtig für Arbeitnehmerinnen und Arbeitnehmer: Das Bundesarbeitsgericht hat im Februar 2025 eine **strengere Linie** für den arbeitsrechtlichen Kontext eingeschlagen. Hier verlangt das BAG eine **„gerichtlich überprüfbare, begründete Befürchtung des Datenmissbrauchs“**. Bei einem Personalakten-Vorfall im Arbeitsverhältnis sollten Sie also die Befürchtung argumentieren und belegen, nicht nur den Vorfall benennen.

### EuGH-Rahmen seit 2023

- —**EuGH C-300/21 („Österreichische Post“) vom 04.05.2023:** Der bloße Verstoß reicht nicht, ein konkreter Schaden ist erforderlich. **Aber:** Jede Bagatellgrenze ist aufgehoben. Auch kleine immaterielle Schäden sind anspruchsbegründend.

- —**EuGH C-687/21 vom 25.01.2024:** Eine rein hypothetische Befürchtung ohne konkrete Anhaltspunkte reicht nicht; konkrete, plausible Befürchtungen schon.

- —**EuGH C-340/21 vom 14.12.2023:** Der Betroffene trägt die Darlegungslast für Schaden und Kausalität; der Verantwortliche trägt die Beweislast für die Exkulpation nach Art. 82 Abs. 3.

- —**EuGH C-460/20 vom 08.12.2022:** Brückenurteil zur Suchmaschinen-Auslistung, relevant für Löschungs- und Schadensersatz-Kombinationen.

Die Kombination dieser Urteile bedeutet: Wer heute „DSGVO-Schadensersatz ist schwer durchsetzbar“ liest, liest einen veralteten Text aus der Zeit vor BGH 11/2024.

## Wie viel Schadensersatz steht mir bei einem DSGVO-Verstoß zu?

Nach **BGH VI ZR 10/24** (18.11.2024) und der OLG-Folgerechtsprechung sind **rund 100 EUR** für reinen Kontrollverlust ein angemessener Richtwert. In sensibleren Fällen — Gesundheitsdaten, Personalakten, Identitätsdiebstahl-Risiko — sind **500 bis 5.000 EUR** realistisch. Der **EuGH** (C-300/21) hat jede Erheblichkeitsschwelle aufgehoben. Auch kleine Schäden begründen einen Anspruch nach Art. 82 DSGVO.

### Schadensersatz-Höhe-Tabelle (Stand BGH-/OLG-Linie 2025)

| Schadensart | Realistische Spanne | Belegende Rechtsprechung |
| --- | --- | --- |
| Reiner Kontrollverlust (Scraping, Datenleck mit begrenztem Empfängerkreis) | 100 EUR | BGH VI ZR 10/24; OLG Hamburg 2025 |
| Werbung trotz Widerruf, mehrere Vorfälle | 100–300 EUR | LG-Linie 2024/25 |
| CC-statt-BCC-E-Mail mit Empfänger-Klarnamen | 200–500 EUR | LG-Linie 2024/25 |
| Personalakten-Vorfall, Innentäter | 500–1.500 EUR | BGH VI ZR 365/22 |
| Sensible Daten (Gesundheit, Sexualität, Religion) | 1.000–3.000 EUR | OLG-Linie zu sensiblen Daten |
| Identitätsdiebstahl-Risiko mit nachweisbarem Schaden | 2.000–5.000 EUR | BGH/OLG mit konkreter Folgen-Bemessung |
| Großes Datenleck mit öffentlichen Klarnamen-Daten | 500–2.500 EUR | Pilotverfahren BGH/OLG 2024/25 |

Die Bemessung erfolgt stets im Einzelfall. Faktoren sind Sensibilität der Daten, Empfängerkreis, Dauer des Kontrollverlusts, Reaktion des Verantwortlichen und Ihre eigene Beweislage.

**Welche Spanne gilt für Ihren konkreten Fall?** [Die Lulius-Anspruchs-Ampel klärt das in 2 Minuten](https://www.lulius.ai/registrieren?plan=verbraucher) — mit präziser Höhe-Indikation und aktueller BGH-Zitation.

## Wann habe ich einen DSGVO-Schadensersatz-Anspruch?

Damit Art. 82 DSGVO greift, müssen drei Voraussetzungen kumulativ erfüllt sein. Eine vierte Frage betrifft die Exkulpation des Verantwortlichen.

### Voraussetzung 1 — DSGVO-Verstoß

Es muss ein Verstoß gegen die DSGVO vorliegen. Typische Anhaltspunkte:

- —**Meldepflicht-Schreiben** nach Art. 34 DSGVO („Wir wurden gehackt“)

- —**Bescheid** einer Aufsichtsbehörde (Bußgeld gegen den Verantwortlichen)

- —**Medienberichte** zu einem konkreten Datenleck

- —**Eigene Beobachtung** etwa CC-Mail mit Klarnamen-Liste

### Voraussetzung 2 — Konkreter Schaden

Hier zählt die aktuelle BGH-Linie. Anerkannte Schadensarten:

- —**Kontrollverlust** über Ihre Daten (BGH VI ZR 10/24)

- —**Begründete Befürchtung** des Missbrauchs (EuGH C-687/21, BAG 02/2025 strenger)

- —**Psychische Belastung** mit konkreter Schilderung

- —**Materielle Folgekosten** (Identitätsdiebstahl, Anwaltskosten)

### Voraussetzung 3 — Kausalität

Der Schaden muss „aufgrund des Verstoßes“ entstanden sein. Adäquate Kausalität reicht; ein zeitlicher und sachlicher Zusammenhang zwischen Datenleck und Kontrollverlust ist in der Regel ausreichend dargelegt.

### Exkulpation — Hürde für den Verantwortlichen

Nach **Art. 82 Abs. 3 DSGVO** kann der Verantwortliche der Haftung nur entgehen, wenn er nachweist, dass er das schädigende Ereignis „in keinerlei Hinsicht zu vertreten“ hat. In der Praxis ist diese Hürde sehr hoch — der Verantwortliche muss aktiv darlegen, dass weder Auswahlverschulden, noch Organisationsverschulden, noch eine technische Sicherheitslücke vorliegt.

### Lulius-Anspruchs-Ampel: Greift Art. 82 für Ihren Fall?

Grün — Anspruch klar gegeben:

- —Datenleck mit Benachrichtigung nach Art. 34 DSGVO

- —Werbung trotz schriftlichem Widerruf, mehrfach

- —CC-statt-BCC-E-Mail mit Empfänger-Klarnamen-Liste

- —Facebook-Scraping-Vorfall mit Telefonnummer/Geburtsdatum

- —Personalakten-Vorfall mit unbegrenztem internem Empfängerkreis

Gelb — Einzelfall-Prüfung erforderlich:

- —Reine Befürchtung ohne konkrete Anhaltspunkte (EuGH C-687/21-Hürde)

- —Bagatell-Verspätung bei DSGVO-Antwort

- —Isolierte Personalakten-Konstellation (BAG-Hürde, begründete Befürchtung erforderlich)

- —Sehr alter Vorfall (Verjährungsfrage)

Rot — Anspruch zweifelhaft:

- —Hypothetisches Risiko ohne Anhaltspunkte

- —Vor 25.05.2018 geschehene Verstöße (vor DSGVO-Inkrafttreten)

- —Mehr als 3 Jahre nach Kenntnis (Verjährung, § 195 BGB analog)

## Drei Praxisfälle aus der aktuellen Rechtsprechung

### Praxisfall 1 — Facebook-Scraping-Sammelklage (Sandra K., Köln)

Sandra K. bekommt im April 2026 einen Brief der Sammelklagen-Plattform. Ihre Telefonnummer und ihr Geburtsdatum stammen aus dem Facebook-Scraping-Vorfall 2019 und sind seither in einschlägigen Foren öffentlich verknüpft. **Lulius-Ampel: grün.** Art. 4 Nr. 12 DSGVO ist erfüllt, Kontrollverlust mit unbegrenztem Empfängerkreis, BGH VI ZR 10/24 trifft direkt zu. Realistische Spanne: 100 bis 300 EUR.

Bei einer Sammelklage erhält Sandra nach 40 % Provision rund 50 EUR netto. Bei einer Einzelklage am Landgericht Hamburg — erlaubt nach dem Wahlrecht in **Art. 79 Abs. 2 DSGVO** — könnte sie mit der Lulius-Vorlage und Verweis auf BGH VI ZR 10/24 realistisch 150 bis 250 EUR netto durchsetzen.

### Praxisfall 2 — Versehentlich veröffentlichte Mitarbeiter-Liste (Tarek M., Hamburg)

Tarek M. arbeitet im HR-Bereich eines Mittelständlers. Im Februar 2026 verschickt eine Kollegin versehentlich eine Excel-Datei mit Gehaltsdaten von 80 Mitarbeitern an alle Mitarbeiter — statt nur an die Geschäftsführung. **Lulius-Ampel: grün** mit erhöhter Spanne. Sensible Gehaltsdaten, interner aber unbegrenzter Empfängerkreis, BGH VI ZR 365/22 trägt direkt: Innentäter und Verschwiegenheits-Beamte können einen Schaden verursachen. Realistische Spanne pro Betroffenem: 500 bis 1.500 EUR.

Strategisches Argument: Wenn alle 80 Mitarbeiter ein gemeinsames Anspruchsschreiben verfassen, erhöht das den Verhandlungs-Hebel deutlich. Der Arbeitgeber wird seltener auf „Einzelfall-Bagatelle“ plädieren.

### Praxisfall 3 — Newsletter trotz Widerruf (Marlene F., Berlin)

Marlene F. widerruft im Oktober 2025 schriftlich die Newsletter-Einwilligung eines Online-Shops. Drei Monate später kommt weiterhin Werbung. Sie schreibt erneut, fordert nach Art. 17 DSGVO Löschung — keine Reaktion. **Lulius-Ampel: grün.** Werbung trotz Widerruf ist ein Verstoß gegen Art. 6 Abs. 1 DSGVO, mehrfacher Vorfall, klare Kausalität. Realistische Spanne: 100 bis 300 EUR pro Vorfalls-Welle.

Strategie: Anspruchsschreiben mit 4-Wochen-Frist parallel zur Beschwerde bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit. Bei Verweigerung Klage am Amtsgericht Berlin — ihrem Wohnsitz nach Art. 79 Abs. 2 DSGVO. Bei einem Streitwert unter 5.000 EUR besteht **kein Anwaltszwang** (§ 78 ZPO).

## Vorlage Anspruchsschreiben Schadensersatz nach Art. 82 DSGVO

Hier ist eine sofort verwendbare Vorlage für Ihr Anspruchsschreiben mit präziser Zitation der aktuellen BGH- und EuGH-Rechtsprechung. Kopieren Sie den Text und passen Sie ihn an Ihren Vorfall an.

Muster: Anspruchsschreiben nach Art. 82 DSGVO

**[Ihr Name]**
[Ihre Adresse]
[PLZ Ort]
[E-Mail-Adresse]

An: [Name des Unternehmens]
– Datenschutzbeauftragte/r –
[Anschrift / E-Mail des Datenschutzbeauftragten]

[Ort], den [Datum]

Betreff: Geltendmachung von Schadensersatz nach Art. 82 DSGVO — Vorfall vom [Datum]

Sehr geehrte Damen und Herren,

hiermit mache ich nach **Art. 82 Abs. 1 DSGVO** Schadensersatz in Höhe von **[Betrag] EUR** für den am **[Datum]** bekannt gewordenen Datenschutzverstoß im Sinne von **Art. 4 Nr. 12 DSGVO** geltend.

Zur Identifikation: [Vollständiger Name], geboren am [Geburtsdatum], Kundennummer/Vertragsnummer/E-Mail: [Angabe].

**Sachverhalt:** [Kurze, sachliche Schilderung — z. B. „Am [Datum] erhielt ich Ihre Benachrichtigung nach Art. 34 DSGVO über einen Sicherheitsvorfall vom [Datum], bei dem meine personenbezogenen Daten (Telefonnummer, Geburtsdatum, E-Mail) unbefugt offengelegt wurden.“]

**Rechtliche Bewertung:** Der Vorfall begründet einen ersatzfähigen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO. Nach **BGH VI ZR 10/24 vom 18.11.2024** ist bereits ein bloßer und vorübergehender Kontrollverlust über personenbezogene Daten ein ersatzfähiger Schaden; ein konkreter Missbrauch ist nicht erforderlich. Diese Linie hat der BGH in **VI ZR 365/22 vom 11.02.2025** bestätigt. Der **EuGH** hat in **C-300/21 vom 04.05.2023** klargestellt, dass es keine Erheblichkeitsschwelle gibt; nach **C-687/21 vom 25.01.2024** reicht zudem eine begründete Befürchtung des Missbrauchs.

**Forderung:** Ich fordere Sie auf, den oben bezifferten Schadensersatz innerhalb von **vier Wochen ab Zugang dieses Schreibens** auf das Konto [IBAN] zu überweisen.

Sollte die Frist erfolglos verstreichen, werde ich unbeschadet weiterer Rechte:

- —Beschwerde bei der zuständigen Aufsichtsbehörde nach **Art. 77 DSGVO** einlegen,

- —Klage nach **Art. 79 DSGVO** an meinem Wohnsitz nach Art. 79 Abs. 2 DSGVO erheben,

- —den Schadensersatz auf Basis der dann gegebenen Beweislage gegebenenfalls anpassen.

Eine etwaige Exkulpation nach Art. 82 Abs. 3 DSGVO ist von Ihnen darzulegen und zu beweisen.

Mit freundlichen Grüßen
[Ihre Unterschrift / Ihr Name]

**Tipp:** Versenden Sie das Schreiben per Einschreiben mit Rückschein oder als E-Mail mit Lesebestätigung an die offizielle Datenschutz-Adresse (oft datenschutz@unternehmen.de in der Datenschutzerklärung). Heben Sie eine Kopie der Meldepflicht-Benachrichtigung nach Art. 34 DSGVO auf — sie ist Ihr zentraler Beweisanker.

## Drei Wege zum Schadensersatz — Sammelklage, Anwalt oder Lulius?

Wer einen DSGVO-Schadensersatz durchsetzen will, kann zwischen drei Wegen wählen. Jeder hat Vor- und Nachteile — und bei Streitwerten unter 5.000 EUR ist ein vierter Weg möglich: die Selbstklage am Wohnsitz.

### Weg 1 — Sammelklage oder Musterfeststellungsklage

Anbieter wie financialright.de, leinwand.app oder euroclaim.eu bündeln Tausende Einzelansprüche aus Datenlecks (Facebook-Scraping, Deezer, Meta-Variationen). Vorteile: keine Vorab-Kosten, passive Teilnahme, große Verhandlungsmacht. Nachteile: **30 bis 50 % Provision** auf den ausgezahlten Schadensersatz; lange Verfahrensdauer; die eigene Klagebefugnis wird durch die Abtretung verbraucht.

**Wann sinnvoll:** Bei großen, gut dokumentierten Datenlecks mit hoher Erfolgswahrscheinlichkeit, wenn Sie kein eigenes Verfahrensrisiko tragen wollen.

### Weg 2 — Anwaltliche Erstberatung und Vertretung

Eine anwaltliche Erstberatung bei einem Fachanwalt für IT- oder Datenschutzrecht kostet **rund 250 EUR**. Für eine Vertretung im Klageverfahren kommen Streitwert-abhängige Gebühren nach RVG hinzu. Vorteile: maßgeschneiderte rechtliche Bewertung, professionelle Verhandlungsführung. Nachteile: bei Streitwerten von 100 bis 500 EUR übersteigen die Kosten oft den möglichen Ertrag.

**Wann sinnvoll:** Bei Streitwerten über 2.000 EUR, bei komplexer Sachlage (BAG-Konstellation im Arbeitsverhältnis), oder wenn das Unternehmen bereits eine Klage angedroht hat.

### Weg 3 — Lulius Rechts-Check plus Selbstklage am Wohnsitz

[Lulius](https://www.lulius.ai/registrieren?plan=verbraucher) prüft Ihren Fall für **ab 4,99 EUR pro Frage**: Anspruchs-Ampel, Höhe-Indikation, präzise Vorlage mit aktueller BGH-/EuGH-Zitation. Wenn die Ampel grün ist und der Streitwert unter 5.000 EUR liegt, ist eine **Selbstklage am Amtsgericht** ohne Anwalt möglich (§ 78 ZPO).

Der entscheidende Verbraucher-Vorteil liegt in **Art. 79 Abs. 2 DSGVO**: Sie haben ein **Wahlrecht** zwischen dem Sitz des Verantwortlichen und Ihrem Wohnsitz. Wer Meta auf Schadensersatz verklagen will, muss nicht nach Dublin — die Klage am Landgericht Hamburg oder am Amtsgericht des eigenen Wohnsitzes ist zulässig. Bei wirtschaftlicher Bedürftigkeit ist zusätzlich **Prozesskostenhilfe** nach § 114 ZPO möglich.

Die allgemeine Mechanik einer Selbstklage — Mahnschreiben, Verzug, Klageeinreichung — erklären wir ausführlich in unserem Pillar zum [Verfahrensgang im Schadensersatz](https://www.lulius.ai/blog/schadensersatz-fordern).

### Parallel zu allen Wegen: Beschwerde nach Art. 77 DSGVO

Unabhängig vom gewählten Weg sollten Sie eine **kostenlose Beschwerde bei der Aufsichtsbehörde** nach **Art. 77 DSGVO** in Betracht ziehen. **Wichtig:** Die Aufsichtsbehörde — ob Bundesbeauftragter (BfDI) oder Landesdatenschutzbehörde — ist **nicht für die Auszahlung von Schadensersatz zuständig**. Sie kann nur Bußgelder gegen den Verantwortlichen verhängen. Ein Aufsichtsbehörden-Bescheid ist für Ihre zivilrechtliche Beweisführung allerdings sehr wertvoll.

## Bis wann muss ich meinen Anspruch geltend machen?

Hier liegt eine oft übersehene Falle. Der DSGVO-Schadensersatz-Anspruch unterliegt der **regelmäßigen Verjährung von drei Jahren** nach [§ 195 BGB](https://www.gesetze-im-internet.de/bgb/__195.html), analog auch für Ansprüche nach Art. 82 DSGVO angewandt. Nach **§ 199 Abs. 1 BGB** beginnt die Frist mit dem **Schluss des Jahres**, in dem der Anspruch entstanden ist **und** Sie vom Vorfall Kenntnis oder grob fahrlässige Unkenntnis hatten.

Konkretes Beispiel: Sie erhalten im **August 2024** eine Benachrichtigung nach Art. 34 DSGVO über ein Datenleck. Die Verjährungsfrist beginnt am **31.12.2024** und endet am **31.12.2027**. Wer also 2022 oder 2023 von einem Vorfall Kenntnis erlangt hat und bislang nichts unternommen hat, sollte zeitnah handeln — die Frist endet zum **31.12.2025** beziehungsweise **31.12.2026**.

**Wichtig:** Eine laufende Sammelklage oder ein Mahnbescheid hemmt die Verjährung. Ein bloßes Anspruchsschreiben dagegen nicht. Wer die Frist sichern will, muss die Hemmung aktiv herbeiführen — etwa durch Klageerhebung oder Anerkenntnis des Verantwortlichen.

## Häufige Fragen zu DSGVO-Schadensersatz

### Brauche ich einen Anwalt für eine DSGVO-Schadensersatz-Klage?

Bei einem Streitwert bis 5.000 EUR können Sie am Amtsgericht selbst klagen (§ 78 ZPO). Erst beim Landgericht gilt Anwaltszwang. Für die Anspruchsprüfung und Vorlage reicht in der Regel ein **Lulius Rechts-Check ab 4,99 EUR**. Bei komplexer Sachlage oder Streitwerten über 2.000 EUR empfehlen wir die Konsultation eines Fachanwalts für IT- oder Datenschutzrecht.

### Bekomme ich Schadensersatz, wenn ich nur eine Datenpannen-Benachrichtigung bekommen habe?

Ja, sehr wahrscheinlich. Die Benachrichtigung nach Art. 34 DSGVO ist ein starker Beweisanker. Sie belegt den Verstoß (Art. 4 Nr. 12 DSGVO) und legt den Kontrollverlust nahe. Nach BGH VI ZR 10/24 reicht der Kontrollverlust für einen Anspruch nach Art. 82 DSGVO. Die indikative Größenordnung: 100 EUR pro Vorfall. Bei sensiblen Daten höher.

### Was ist der Unterschied zwischen Schmerzensgeld und DSGVO-Schadensersatz?

Schmerzensgeld nach § 253 Abs. 2 BGB setzt eine Verletzung von Körper, Gesundheit, Freiheit oder sexueller Selbstbestimmung voraus. Der DSGVO-Schadensersatz nach Art. 82 DSGVO greift auch ohne Personenschaden — bereits der reine Kontrollverlust genügt. Beide Ansprüche können nebeneinander stehen.

### Was ist, wenn das Unternehmen insolvent ist?

Bei Insolvenz wird Ihr Anspruch zur Insolvenzforderung; melden Sie ihn beim Insolvenzverwalter an. Wichtig: Bei gesamtschuldnerischer Haftung nach **Art. 82 Abs. 4 DSGVO** können Sie auch andere Beteiligte (etwa Auftragsverarbeiter) in Anspruch nehmen. Vor Geltendmachung empfiehlt sich eine Auskunft nach Art. 15 DSGVO — mehr dazu in unserer [Vorlage zum Auskunftsrecht](https://www.lulius.ai/blog/dsgvo-auskunftsrecht-muster).

### Lohnt sich eine Einzelklage oder ist die Sammelklage besser?

Das hängt von Streitwert und Schadensart ab. Faustregel: Bei Standard-Scraping-Fällen mit 100 EUR Erwartungswert und 40 % Provision bleibt bei der Sammelklage rund 60 EUR netto. Eine Einzelklage am Amtsgericht ohne Anwaltszwang kann bei guter Beweislage 100 bis 250 EUR netto bringen — mit etwas mehr Eigenaufwand. Bei sensiblen Daten und höheren Spannen lohnt sich die Einzelklage fast immer mehr.

## Fazit — Schon der Kontrollverlust ist Ihr Geld wert

Der **DSGVO-Schadensersatz** nach Art. 82 DSGVO ist heute deutlich einfacher durchsetzbar als noch vor zwei Jahren. Die zentralen Eckpunkte für 2026:

- —**Anspruchsgrundlage:** Art. 82 Abs. 1 DSGVO, Erwägungsgrund 146 (Schaden weit auszulegen)

- —**Aktuelle BGH-Linie:** VI ZR 10/24 (18.11.2024) und VI ZR 365/22 (11.02.2025) — Kontrollverlust reicht, rund 100 EUR Mindestsatz

- —**EuGH-Rahmen:** C-300/21 (keine Bagatellgrenze), C-687/21 (Befürchtung als Schaden möglich)

- —**Wahlrecht:** Klage am Wohnsitz nach Art. 79 Abs. 2 DSGVO — großer Verbraucher-Vorteil gegen US-Konzerne

- —**Verjährung:** 3 Jahre (§ 195, § 199 BGB analog) — ab Schluss des Kenntnisjahres

Wenn Sie eine Datenpannen-Benachrichtigung erhalten haben, von einem Scraping-Vorfall betroffen sind oder ein Unternehmen trotz Widerruf weiter Werbung schickt: Ihr Anspruch ist mit hoher Wahrscheinlichkeit grün. Die Frage ist nur noch — welche Spanne und welcher Weg?

Wer zuerst die Löschung erreichen will, findet die passende Strategie in unserem Ratgeber zum [Recht auf Löschung nach Art. 17 DSGVO](https://www.lulius.ai/blog/recht-auf-loeschung-dsgvo) als Vorstufe zum Schadensersatz. Wer den Überblick über alle DSGVO-Rechte sucht, findet ihn im Pillar [DSGVO-Rechte im Alltag](https://www.lulius.ai/blog/datenschutz-im-alltag-dsgvo-rechte).

**Schon der reine Kontrollverlust ist Ihr Geld wert.** [Lulius prüft Ihren konkreten Fall ab 4,99 EUR](https://www.lulius.ai/registrieren?plan=verbraucher) — mit aktueller BGH-Linie, präziser Höhe-Indikation und sofort verwendbarer Vorlage. Statt 250 EUR Erstberatung beim Anwalt oder 40 % Provision in der Sammelklage.

Hinweis: Lulius bietet rechtliche Ersteinschätzungen und Informationen, keine Rechtsberatung im Sinne des RDG. Bei laufenden Rechtsstreitigkeiten oder Streitwerten über 2.000 EUR empfehlen wir die Konsultation eines Fachanwalts für IT- oder Datenschutzrecht. Stand der dargestellten Rechtsprechung: BGH-Linie Februar 2025, EuGH-Rahmen 2022 bis 2024.

### Anspruchs-Ampel in 2 Minuten

Lulius prüft Ihren DSGVO-Schadensersatz-Fall ab 4,99 EUR — mit aktueller BGH-Linie 2024/2025, Höhe-Indikation und sofort verwendbarer Vorlage.

[Jetzt Fall prüfen — ab 4,99 EUR](https://www.lulius.ai/registrieren?plan=verbraucher)

Hinweis: Lulius bietet rechtliche Ersteinschätzungen, keine Rechtsberatung im Sinne des RDG.

Beitrag mitnehmen

Diesen Beitrag als reinen Text übernehmen — ohne Navigation und Formatierung, mit erhaltenen Tabellen und Paragraphenverweisen. Geeignet zum Einfügen in ChatGPT, Claude oder ein anderes KI-Werkzeug.

⧉Als Markdown kopieren[Markdown-Fassung ansehen](https://www.lulius.ai/blog/dsgvo-schadensersatz.md)

## Weiterlesen

###
---

Quelle: https://www.lulius.ai/blog/dsgvo-schadensersatz · Lulius (Elivya UG (haftungsbeschränkt), Frankfurt am Main)
Redaktionelle Grundsätze: https://www.lulius.ai/redaktion