DSGVO-Schadenersatz: Wenn deine Daten betroffen sind
Datenleck, unerlaubte Weitergabe, Auskunft verweigert: Art. 82 DSGVO gibt dir einen Anspruch auf Ersatz – auch für immaterielle Schäden. Die Hürde liegt nicht am Verstoß, sondern am Nachweis, dass er dir tatsächlich etwas angetan hat.
In Vorbereitung – noch keine Partnerkanzlei
Kostenlos · unverbindlich · wir melden uns, sobald wir übergeben können
Rechtslage
Kein Sanktionsinstrument, sondern Ausgleich
Der Anspruch ist real, aber er ist enger, als viele Angebote im Netz vermuten lassen. Drei Entscheidungen setzen den Rahmen.
Keine Bagatellschwelle
Der EuGH hat 2023 in einem Fall aus Österreich klargestellt: Es gibt keine Erheblichkeitsschwelle – auch ein kleiner immaterieller Schaden ist zu ersetzen (C-300/21). Ein Schaden muss aber vorliegen und dargelegt werden; der bloße Verstoß reicht nicht.
Kontrollverlust zählt
Negative Gefühle als Folge eines Kontrollverlusts über die eigenen Daten können nach dem EuGH einen ersatzfähigen Schaden bilden (C-655/23 vom 04.09.2025). Entscheidend ist eine nachvollziehbare Darstellung dessen, was der Verstoß bei dir ausgelöst hat.
Die OGH-Linie
Der OGH hat 2025 die Grenzen gezogen: Der Anspruch dient allein dem Ausgleich, nicht der Bestrafung. Wer nur die Rechtswidrigkeit der Verarbeitung geltend macht, ohne konkrete Folgen nachzuweisen, bekommt nichts – im entschiedenen Fall wurden 7.000 Euro abgewiesen (6 Ob 113/24x).
Höhe
Realistisch bleiben
Was Gerichte zusprechen
Wir nennen hier keine Beträge, weil es keine belastbare Tabelle gibt: Die Höhe hängt am konkreten Verstoß, an der Sensibilität der Daten und an den Folgen für dich. Einschätzung: In der Praxis geht es meist um überschaubare Summen, nicht um Vermögen.
Die kostenlose Alternative
Eine Beschwerde bei der Datenschutzbehörde kostet nichts und kann den Verstoß feststellen und abstellen lassen. Schadenersatz gibt es dort aber nicht – dafür ist das Zivilgericht zuständig. Beides schließt sich nicht aus.
Ehrlichkeit bei Grenzfällen
Wo wir dir abraten
Bevor du Zeit investierst, die Punkte, an denen solche Fälle regelmäßig scheitern:
- Verstoß ohne spürbare Folge. Wenn dir außer Ärger über den Vorgang nichts passiert ist, wird es nach der OGH-Linie schwer. Ärger allein ist kein nachgewiesener Schaden.
- Du kannst die Folgen nicht belegen. Sorgen, Missbrauchsversuche, Zeitaufwand – all das hilft nur, wenn es konkret und nachvollziehbar dargestellt wird.
- Aufwand und Betrag stehen in keinem Verhältnis. Ein Verfahren um wenige hundert Euro trägt sich selten. Dann ist die Beschwerde bei der Behörde der bessere Weg.
Fristen
Nicht warten, bis das Leck vergessen ist
Einschätzung: Für Schadenersatz nach der DSGVO gilt nach überwiegender Auffassung die allgemeine Verjährung von drei Jahren ab Kenntnis von Schaden und Schädiger (§ 1489 ABGB). Das ist gerichtlich nicht in jeder Konstellation abschließend geklärt.
Häufige Fragen
DSGVO-Schadenersatz
Ein Unternehmen hat mir mitgeteilt, dass meine Daten bei einem Leck betroffen sind.
Heb die Mitteilung auf und notier, was seither passiert ist – Phishing-Versuche, Anrufe, Kontobewegungen. Das ist die Grundlage für jeden späteren Anspruch.
Meine Auskunftsanfrage wurde ignoriert.
Das ist selbst ein Verstoß. Ob daraus ein Schadenersatzanspruch folgt, hängt davon ab, was dir dadurch entgangen ist. Die Beschwerde bei der Datenschutzbehörde ist hier oft der schnellere Hebel.
Kann ich mich einer Sammelklage anschließen?
Bei großen Lecks gibt es teils Sammelaktionen. Ob eine davon seriös ist und zu deinem Fall passt, schauen wir uns gern an.
Weitere Gebiete
Diese Felder laufen bereits
Online-Casino-Verluste zurückfordern
Wer bei einem Anbieter ohne österreichische Konzession verloren hat, kann die Einsätze in vielen Fällen zurückfordern – rückwirkend über Jahre.
Ansehen
Kreditgebühren zurückfordern
Bearbeitungsentgelt, Kontoführung, Spesen: Der OGH hat mehrere Bank-Klauseln gekippt. Bezahlte Gebühren können zurückgeholt werden.
Ansehen
Dieselskandal: Schadenersatz
Der OGH hat einen Mindestschadenersatz von 5 bis 15 Prozent des Kaufpreises festgelegt – und das Auto darf man behalten.
Ansehen
Flug verspätet oder gestrichen
Ab drei Stunden Verspätung stehen 250 bis 600 Euro zu – unabhängig vom Ticketpreis und zusätzlich zur Betreuung durch die Airline.
Ansehen
Mitteilung über das Datenleck reicht für den Anfang.
Wir sagen dir ehrlich, ob nach der aktuellen Rechtsprechung mehr als eine Beschwerde bei der Behörde drin ist.