Fehlgeleitete Xing-Nachricht: BGH spricht Bewerber DSGVO-Schadenersatz zu

Wenn die Bewerbung beim Falschen landet: BGH schafft Klarheit

Ein Moment der Unachtsamkeit im Personalbüro kann weitreichende rechtliche Konsequenzen haben. Der Bundesgerichtshof (BGH) hat in einem richtungsweisenden Urteil (Az. VI ZR 97/22) entschieden, dass die versehentliche Weitergabe von Bewerberdaten an unbefugte Dritte einen Anspruch auf immateriellen Schadensersatz gemäß der Datenschutz-Grundverordnung (DSGVO) begründen kann. Das Urteil markiert einen wichtigen Punkt in der juristischen Aufarbeitung von Datenpannen.

Der Vorfall: Vertrauliche Daten in falschen Händen

Im Oktober 2018 unterlief einer Mitarbeiterin einer Privatbank ein folgenschwerer Fehler: Bei der Kommunikation über das soziale Netzwerk Xing wurde eine vertrauliche Nachricht, die eigentlich für einen Bewerber bestimmt war, versehentlich an einen Dritten gesendet. Die Nachricht enthielt sensible Informationen, darunter den Namen des Bewerbers, Details zum laufenden Bewerbungsprozess sowie die geplante Gehaltsstruktur von 80.000 Euro zuzüglich variabler Anteile.

Besonders kritisch: Der Empfänger war kein Unbekannter, sondern ein ehemaliger Arbeitskollege des Bewerbers. Dieser leitete die Information weiter und konfrontierte den Betroffenen direkt mit dessen Stellensuche. Damit war das Risiko einer beruflichen Diskretionsverletzung zur konkreten Realität geworden.

Personenbezug und Kontrollverlust

Die beklagte Bank argumentierte zunächst, dass der bloße Nachname keine eindeutige Identifizierung ermögliche und somit kein personenbezogener Datensatz vorliege. Der BGH wies diese Argumentation entschieden zurück. Für die Anwendung der DSGVO reicht es aus, wenn eine Person identifizierbar ist. Da die Nachricht spezifische Zuordnungsmerkmale enthielt, war der Personenbezug eindeutig gegeben. Die Auffassung, dass Daten in beruflichen Netzwerken per se anonym seien, wurde vom Gericht als rechtlich unhaltbar eingestuft.

Schadensersatz: Was gilt nach der DSGVO?

Das Urteil stützt sich auf die Auslegung von Artikel 82 DSGVO. Während ein bloßer Datenschutzverstoß für sich genommen noch keinen automatischen Entschädigungsanspruch auslöst, sieht der BGH den Schaden in diesem Fall als erwiesen an. Der entscheidende Punkt war der Kontrollverlust über die Daten, der sich durch die direkte Ansprache des Dritten manifestierte.

Der Europäische Gerichtshof (EuGH) hatte bereits im Vorfeld klargestellt, dass für einen Anspruch weder ein materieller Schaden noch eine Bagatellschwelle erforderlich ist. Auch Sorgen, Ärger oder die begründete Befürchtung eines Missbrauchs nach einer Datenpanne können ein Schmerzensgeld rechtfertigen. Im vorliegenden Fall sah der BGH die Sorge des Klägers vor Konkurrenznachteilen oder einer unbefugten Weitergabe als plausibel an.

Grenzen des Unterlassungsanspruchs

Obwohl der Kläger beim Schadensersatz Erfolg hatte, scheiterte er mit seinem Antrag auf Unterlassung. Der BGH stellte fest, dass die DSGVO keinen präventiven Unterlassungsanspruch ohne vorherigen Löschungsantrag vorsieht. Zudem fehlte es an der für einen zivilrechtlichen Unterlassungsanspruch notwendigen Wiederholungsgefahr, da es sich um einen einmaligen Vorfall in einem bereits abgeschlossenen Bewerbungsverfahren handelte.

Ausblick und Konsequenzen

Über die exakte Höhe des Schadensersatzes muss nun das Oberlandesgericht Frankfurt erneut entscheiden. Dabei werden die Maßstäbe angewandt, die der BGH bereits im November 2024 definiert hat. In der Regel bewegen sich Entschädigungen für derartige Kontrollverluste im niedrigen zwei- bis dreistelligen Bereich.

Für Unternehmen unterstreicht das Urteil die Notwendigkeit, Prozesse bei der Datenverarbeitung – insbesondere bei der Nutzung digitaler Messenger – streng zu kontrollieren. Die Entscheidung verdeutlicht, dass theoretische Datenschutzrisiken durch menschliches Versagen schnell in konkrete, einklagbare Schadensersatzansprüche umschlagen können.