Schadensersatz bei Weitergabe von Bewerberdaten: BGH stärkt Betroffene
Autor: Rechtsanwalt Dr. Marc Maisch / Headerbild: KI-generiert
Der Bundesgerichtshof hat entschieden: Verschickt ein Unternehmen Bewerberdaten versehentlich an einen unbeteiligten Dritten, kann der Bewerber dafür Schadensersatz nach der DSGVO verlangen.
Was ist passiert?
Eine Berliner Privatbank führte 2018 ein Bewerbungsverfahren für eine Händlerstelle. Die Bank wollte dem Bewerber über die Karriereplattform Xing mitteilen, dass sein Gehaltswunsch zu hoch war. Sie bot ihm 80.000 Euro plus variable Vergütung an.
Eine Mitarbeiterin der Bank verschickte diese Nachricht jedoch nicht nur an den Bewerber. Sie ging auch an einen unbeteiligten Dritten. Dieser Dritte war ausgerechnet ein ehemaliger Kollege des Bewerbers. Beide kannten sich aus einer früheren gemeinsamen Tätigkeit.
Der Ex-Kollege bekam so Einblick in das laufende Bewerbungsverfahren, in das Gehaltsangebot der Bank und in die Gehaltsvorstellungen des Bewerbers. Überrascht meldete er sich beim Bewerber und fragte nach, ob die Nachricht für ihn bestimmt war und ob er auf Jobsuche sei.
Der Bewerber bekam die Stelle am Ende nicht. Er verlangte von der Bank Schadensersatz, weil er befürchtete, der Ex-Kollege könnte die Informationen weitergeben oder sich als Konkurrent bei anderen Stellen einen Vorteil verschaffen. Zudem empfand er die gescheiterten Gehaltsverhandlungen als Bloßstellung gegenüber einem Branchenkollegen.
Wie war der Prozessverlauf?
Das Landgericht Darmstadt gab dem Bewerber 2020 zunächst recht, wenn auch mit einer geringeren Summe als gefordert. Das Oberlandesgericht Frankfurt kassierte den Schadensersatz 2022 jedoch wieder. Zwar liege ein Datenschutzverstoß vor, so das OLG. Der Bewerber habe aber keinen konkreten Schaden wie Angst, Stress oder Zeitverlust nachgewiesen.
Der BGH musste die Revision entscheiden, legte den Fall aber zunächst dem Europäischen Gerichtshof vor. Er wollte wissen, ob ein solcher Vorfall überhaupt zum Schadensersatz berechtigt und ob der Bewerber zusätzlich Unterlassung verlangen kann.
Der EuGH stellte im September 2025 klar: Auch negative Gefühle, der Verlust der Kontrolle über die eigenen Daten und die begründete Furcht vor Missbrauch können einen immateriellen Schaden nach Art. 82 DSGVO darstellen. Der Betroffene muss diese Folgen aber nachweisen. Damit ging der Fall zurück an den BGH.
Die Entscheidung des BGH vom 23. Juni 2026
Der VI. Zivilsenat des BGH gab dem Bewerber nun dem Grunde nach recht (Urt. v. 23.06.2026, Az. VI ZR 97/22). Die Nachricht enthielt personenbezogene Daten im Sinne der DSGVO: Nachname, Geschlecht und Details zum Bewerbungsverfahren samt Gehaltsangebot. Die Übermittlung an den falschen Empfänger war eine unrechtmäßige Datenverarbeitung.
Entscheidend für den BGH war folgender Moment: Der Ex-Kollege nahm die Nachricht nicht nur zur Kenntnis. Er nutzte sie auch, um sich beim Bewerber nach dessen Jobsuche zu erkundigen. Damit war der Kontrollverlust über die Daten für den Bewerber nicht folgenlos. Seine Sorge vor Weitergabe oder beruflichem Nachteil war zudem begründet, weil sie sich durch die Rückfrage des Ex-Kollegen tatsächlich bestätigte.
Der BGH lehnte allerdings einen Anspruch auf Unterlassung ab. Die DSGVO gibt dafür keine Grundlage her, wenn der Betroffene nicht auch Löschung der Daten verlangt hat. Ein Unterlassungsanspruch nach deutschem Recht setzt zudem eine Wiederholungsgefahr voraus. Bei einem einmaligen Fehler in einem abgeschlossenen Verfahren sah der BGH diese Gefahr nicht.
Wie hoch der Schadensersatz konkret ausfällt, muss jetzt das OLG Frankfurt neu verhandeln. Die Höhe eines immateriellen Schadens ist stets Frage des Einzelfalls.
Was können Unternehmen aus dem Urteil lernen?
Das Urteil zeigt: Schon ein einziger Übermittlungsfehler kann für ein Unternehmen teuer werden. Häufige Praxisbeispiele für solche Fehler sind eine E-Mail an den falschen Verteiler, eine Empfänger-Verwechslung durch Autovervollständigung im Adressfeld, oder eine Nachricht in CC statt in BCC bei einer Absage an mehrere Bewerber gleichzeitig.
Im Bewerbungsprozess verarbeiten Unternehmen besonders sensible Daten: Gehaltsvorstellungen, Zeugnisse, Werdegang und manchmal Gesundheitsdaten. Ein Fehler in diesem Bereich trifft Bewerber persönlich und beruflich. Deshalb sollten Unternehmen den Versand solcher Nachrichten technisch und organisatorisch absichern, etwa durch ein Vier-Augen-Prinzip vor dem Versand, durch geschulte Personalabteilungen und durch klare Prozesse für die Kommunikation über externe Plattformen wie Xing oder LinkedIn.
Kommt es trotzdem zu einer Datenpanne, sollte das Unternehmen sofort prüfen, ob eine Meldepflicht nach Art. 33 und Art. 34 DSGVO gegenüber der Aufsichtsbehörde und dem Betroffenen besteht. Wer diese Meldung versäumt, riskiert einen zusätzlichen DSGVO-Verstoß und damit ein weiteres Schadensersatzrisiko.
FAQ
Was hat der BGH im Fall der fehlgeleiteten Xing-Nachricht entschieden?
Der BGH hat entschieden, dass dem Bewerber ein Schadensersatzanspruch nach Art. 82 DSGVO dem Grunde nach zusteht. Die Bank hatte seine Bewerbungsdaten versehentlich an einen unbeteiligten Dritten übermittelt. Weil der Dritte die Daten tatsächlich nutzte und beim Bewerber nachfragte, war der Kontrollverlust über die Daten nicht folgenlos. Die genaue Höhe des Schadensersatzes muss nun das OLG Frankfurt festlegen (Urt. v. 23.06.2026, Az. VI ZR 97/22).
Reicht ein bloßer Datenschutzverstoß für Schadensersatz aus?
Nein, ein reiner Verstoß gegen die DSGVO reicht nicht aus. Der Betroffene muss zusätzlich einen konkreten materiellen oder immateriellen Schaden nachweisen. Als Schaden gilt aber bereits ein kurzzeitiger Kontrollverlust über die eigenen Daten oder eine begründete Furcht vor deren Missbrauch. Eine Erheblichkeitsschwelle gibt es dabei nicht, auch kleinere Beeinträchtigungen können ausreichen.
Welche Voraussetzungen muss ein Schadensersatzanspruch nach Art. 82 DSGVO erfüllen?
Ein Anspruch nach Art. 82 DSGVO setzt drei Dinge voraus: einen Verstoß gegen die DSGVO, einen konkreten materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang zwischen beidem. Typische Verstöße sind eine Datenverarbeitung ohne Rechtsgrundlage, unzureichende technische Schutzmaßnahmen oder die fehlerhafte Übermittlung von Daten an Unbefugte, wie im Xing-Fall.
Können Betroffene bei einer Datenpanne auch Unterlassung verlangen?
Nur unter engen Voraussetzungen, denn die DSGVO selbst bietet keine Grundlage für einen Unterlassungsanspruch, wenn keine Löschung der Daten verlangt wurde. Nach deutschem Recht kommt zwar ein Unterlassungsanspruch in Betracht, er setzt aber eine Wiederholungsgefahr voraus. Bei einem einmaligen, abgeschlossenen Vorfall wie im BGH-Fall besteht diese Gefahr in der Regel nicht.
Was sollten Unternehmen tun, um versehentliche Datenübermittlungen zu vermeiden?
Unternehmen sollten den Versand sensibler Bewerberdaten über ein Vier-Augen-Prinzip absichern und Mitarbeiter im Umgang mit Messenger-Diensten wie Xing schulen. Wichtig sind außerdem klare interne Prozesse für Absagen und Angebote sowie die Einbindung eines Datenschutzbeauftragten bei der Gestaltung dieser Abläufe. Das senkt das Risiko einer Datenpanne und damit auch das Haftungsrisiko erheblich.
Muss ein Unternehmen eine versehentliche Datenübermittlung an die Aufsichtsbehörde melden?
Ja, wenn von der Datenpanne ein Risiko für die Rechte und Freiheiten der betroffenen Person ausgeht. Nach Art. 33 DSGVO muss das Unternehmen die Panne dann unverzüglich, möglichst innerhalb von 72 Stunden, der zuständigen Aufsichtsbehörde melden. Besteht ein hohes Risiko, muss zusätzlich der Betroffene selbst nach Art. 34 DSGVO informiert werden.
Fazit von Rechtsanwalt Dr. Marc Maisch
Dr. Marc Maisch ist Rechtsanwalt bei Maisch.law Rechtsanwälte und auf IT-Recht, Datenschutz und Cybercrime spezialisiert. Er berät regelmäßig als externer Datenschutzbeauftragter Unternehmen und Bewerber zu Datenpannen und DSGVO-Schadensersatz. Das BGH-Urteil zeigt aus seiner Sicht, wie ernst Gerichte mittlerweile auch kleine Datenpannen im Bewerbungsprozess nehmen. Unternehmen sollten ihre HR-Prozesse jetzt überprüfen, Betroffene ihre Ansprüche kennen.
Haben Sie Fragen zu einer Datenpanne, zu Schadensersatzansprüchen nach Art. 82 DSGVO oder zur datenschutzkonformen Gestaltung Ihrer Bewerbungsprozesse? Melden Sie sich gerne über die Internetseite von Maisch.law – wir beraten Sie unverbindlich.
