Die Rechnung, die erst Jahre später kommt
Wer personenbezogene Daten verarbeitet, haftet nach Art. 82 DSGVO gegenüber den Betroffenen – Kunden, Bewerbern, Mitarbeitern, Lieferanten.
Der Ablauf ist in der Praxis fast immer derselbe:
- Angriff und technische Wiederherstellung
- Meldung an die Aufsichtsbehörde
- Benachrichtigung der Betroffenen
- Erste Anwaltsschreiben, oft Monate später
- Klagen, häufig erst Jahre danach
Genau dieser zeitliche Abstand macht das Risiko so tückisch: Es taucht in der Bilanz auf, wenn der Vorfall intern bereits abgeschlossen ist.
Das bedeutet: Der Versicherungsschutz, der hier greifen muss, ist nicht der für den eigenen Schaden, sondern der Haftpflichtteil der Cyberversicherung.
Der BGH hat die Hürde deutlich gesenkt
Lange war umstritten, ob ein Datenabfluss überhaupt einen ersatzfähigen Schaden darstellt, solange niemand nachweisbar geschädigt wurde.
Der Bundesgerichtshof hat diese Frage im sogenannten Scraping-Komplex entschieden (Urteil vom 18.11.2024, Az. VI ZR 10/24).
Das Ergebnis: Bereits der bloße Verlust der Kontrolle über die eigenen Daten kann ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO sein.
Betroffene müssen also nicht nachweisen, dass ihre Daten tatsächlich missbraucht wurden oder dass sie konkret unter dem Vorfall gelitten haben.
Zur Größenordnung nannte der Vorsitzende Richter einen Betrag von rund 100 € für den reinen Kontrollverlust – als Orientierung, nicht als Tarif.
Konkret bedeutet das: Die Beweishürde für den Einzelnen ist niedrig. Die Summe je Person ist überschaubar. Das Problem liegt woanders.
Warum 100 Euro nicht die eigentliche Zahl sind
Eine Kundendatenbank hat selten hundert Einträge. Sie hat zehntausend, häufig deutlich mehr.
Die reine Multiplikation ist ernüchternd: 20.000 betroffene Datensätze zu je 100 € ergeben rechnerisch 2 Millionen Euro.
So einfach funktioniert es in der Realität zwar nicht – dazu gleich mehr. Aber selbst wenn nur ein kleiner Prozentsatz der Betroffenen seine Ansprüche tatsächlich verfolgt, entsteht eine Belastung, die jeden Posten der Wiederherstellungskosten übersteigen kann.
Hinzu kommt ein zweiter Kostenblock, der oft unterschätzt wird: die Abwehr unbegründeter Ansprüche. Jedes Anwaltsschreiben muss geprüft und beantwortet werden – unabhängig davon, ob die Forderung berechtigt ist.
Sie haften auch für Ihren Dienstleister
Die praktisch wichtigste Entscheidung für Unternehmen stammt vom Oberlandesgericht Düsseldorf (Urteil vom 10.07.2025, Az. 16 U 83/24).
Ein Streamingdienst hatte Kundendaten von einem Auftragsverarbeiter verarbeiten lassen. Dieser schaltete – ohne schriftliche Vereinbarung – einen weiteren Unterauftragnehmer ein.
Nach Vertragsende wurden die Daten entgegen der Zusage nicht gelöscht. Jahre später tauchten sie im Darknet auf.
Entscheidend war die Zurechnung: Nach Art. 82 Abs. 3 DSGVO entlastet sich ein Verantwortlicher nur, wenn er nachweist, dass er in keinerlei Hinsicht verantwortlich ist.
Dieser Nachweis gelang nicht. Das Gericht warf dem Unternehmen vor:
- Keine wirksame Kontrolle des Dienstleisters
- Keine Prüfung der zugesagten Löschung
- Fehlende organisatorische Kontrollmechanismen
Das bedeutet: Die Auslagerung der Datenverarbeitung verlagert die Haftung nicht mit. Wer Daten weitergibt, bleibt gegenüber den Betroffenen in der Verantwortung.
Zugesprochen wurden 200 € – je zur Hälfte für den Kontrollverlust und für die damit verbundenen Befürchtungen. Die Revision wurde nicht zugelassen.
Das Urteil mit dem offenen Ende
Der eigentlich unangenehme Teil dieser Entscheidung steht nicht im Zahlungsausspruch.
Das Gericht stellte zusätzlich fest, dass das Unternehmen auch für künftige materielle Schäden aus diesem Datenabfluss einstehen muss.
Eine solche Feststellung hat kein Enddatum. Taucht der Datensatz in fünf Jahren in einem Betrugsfall wieder auf, ist die Haftungsfrage bereits geklärt.
Konkret bedeutet das: Ein Datenabfluss erzeugt keine abschließbare Schadenssumme, sondern eine Haftungsposition mit unbestimmter Laufzeit. Genau dafür sind Versicherungsverträge mit ihren Nachhaftungsregelungen relevant.
Wo die Abwehr funktioniert
Dass solche Klagen keineswegs automatisch Erfolg haben, zeigt eine aktuelle Entscheidung des Hessischen Landesarbeitsgerichts (Urteil vom 10.02.2026, Az. 12 SLa 709/25).
Nach einem Angriff auf einen Konzern waren rund 40 Terabyte Daten kopiert worden, darunter Mitarbeiterdaten. Ein ehemaliger Beschäftigter verlangte Schadensersatz.
Die Klage wurde abgewiesen. Die Begründung ist für Unternehmen aufschlussreich:
- Im Darknet standen nur Dateinamen
- Die Daten waren großteils veraltet
- Der Kläger benannte seine Daten nicht konkret
- Das Unternehmen hatte die Betroffenen informiert
- Die Aufsichtsbehörde stellte ihr Verfahren ohne Maßnahmen ein
Besonders bemerkenswert ist der letzte Punkt: Dass die Behörde keine Anordnung traf, stärkte die Position des Arbeitgebers im Zivilprozess.
Das bedeutet: Sauberes Incident-Handling ist kein reiner Compliance-Selbstzweck. Es wird Jahre später zum Beweismittel. Auch hier wurde die Revision nicht zugelassen.
Warum die Sammelklage (noch) kein Automatismus ist
Seit Oktober 2023 können qualifizierte Einrichtungen Ansprüche von Verbrauchern gebündelt einklagen – über die Abhilfeklage nach dem Verbraucherrechtedurchsetzungsgesetz.
Ein erster großer Versuch in einem Datenleck-Fall ist jedoch gescheitert. Das Kammergericht Berlin wies eine solche Klage ab (Urteil vom 30.04.2026, Az. 20 VKl 1/25).
Der Grund: Immaterielle Schäden hängen von individuellen Umständen ab – Nutzungsdauer, Art der Daten, subjektives Empfinden. Damit fehlte es an der wesentlichen Gleichartigkeit der Ansprüche nach § 15 VDuG. Einen pauschalen Mindestbetrag je Person lehnte das Gericht ausdrücklich ab.
Konkret bedeutet das: Die Bündelung tausender Ansprüche in einem Verfahren ist derzeit kein Selbstläufer. Das senkt das Risiko eines einzelnen Großurteils – es beseitigt aber nicht die Vielzahl von Einzelforderungen.
Was die vier Entscheidungen zusammen ergeben
Nebeneinander gelesen zeichnen die Urteile ein klares Bild:
- Der Anspruchsgrund ist leicht zu erreichen
- Der Betrag je Person bleibt niedrig
- Die Menge entscheidet über die Größenordnung
- Dienstleisterkontrolle entscheidet über die Zurechnung
- Dokumentation entscheidet über die Abwehr
Das wirtschaftliche Risiko liegt damit weniger in einem spektakulären Einzelurteil als in der Summe vieler kleiner Vorgänge – und in den Kosten, sie zu bearbeiten.
Was die Cyberversicherung an dieser Stelle leistet
Viele Unternehmen verbinden mit einer Cyberversicherung vor allem Eigenschäden: Wiederherstellung, Forensik, Betriebsunterbrechung.
Der hier beschriebene Fall betrifft dagegen den Drittschaden – also den Haftpflichtteil des Vertrages. Je nach Bedingungswerk gehören dazu:
- Prüfung geltend gemachter Ansprüche
- Abwehr unbegründeter Forderungen
- Befriedigung berechtigter Ansprüche
- Kosten der Benachrichtigung nach Art. 34 DSGVO
- Rechtsberatung im Verfahren mit der Aufsichtsbehörde
- Verteidigung in Bußgeldverfahren, soweit versicherbar
Die Funktionsweise entspricht damit der klassischen Haftpflichtversicherung: berechtigte Ansprüche befriedigen, unberechtigte abwehren.
Das bedeutet: Gerade die Abwehrfunktion ist bei Datenschutzansprüchen der wirtschaftlich entscheidende Baustein – weil ein erheblicher Teil der Forderungen am Ende nicht durchgeht, aber jede einzelne bearbeitet werden muss.
Was Sie heute prüfen und dokumentieren sollten
Die Urteile liefern eine recht konkrete Arbeitsliste:
- Auftragsverarbeitungsverträge auf Kontrollpflichten prüfen
- Löschung nach Vertragsende tatsächlich nachweisen lassen
- Unterauftragnehmer schriftlich freigeben und dokumentieren
- Melde- und Benachrichtigungsprozess vorab festlegen
- Betroffenenlisten je Vorfall sauber abgrenzen
- Deckung für Drittschäden und Nachhaftung prüfen
Vier dieser sechs Punkte kosten kein Geld, sondern Konsequenz. Der entscheidende Unterschied im späteren Verfahren ist fast immer, ob ein Unternehmen belegen kann, was es getan hat.
Fazit: Der Vorfall endet nicht mit der Wiederherstellung
Der technische Teil eines Cyberangriffs dauert Tage bis Wochen. Der rechtliche Teil dauert Jahre.
Die aktuelle Rechtsprechung hat den Zugang zu Schadensersatz erleichtert, die Beträge je Person aber niedrig gehalten und die Bündelung vieler Ansprüche erschwert. Für Unternehmen ergibt sich daraus ein Risiko, das selten existenzbedrohend, aber regelmäßig lästig, langwierig und schwer kalkulierbar ist.
Das bedeutet: Wer seinen Cyberschutz nur auf die eigene Wiederherstellung ausrichtet, sichert die kurze Hälfte des Problems ab.
👉 Sprechen Sie mit uns – wir prüfen, ob Ihre Cyberversicherung Drittschäden und Abwehrkosten in ausreichender Höhe abdeckt, bewerten Ihre Nachhaftung und bringen Vertrag und Datenschutzorganisation in Einklang. Persönlich, unabhängig und vorausschauend.
