BGH VI ZR 97/22: Eine fehlgeleitete Xing-Nachricht im Bewerbungsverfahren — und was der Bundesgerichtshof daraus für Art. 82 DSGVO macht

Sachverhalt: Datenpanne im Karrierenetzwerk

Der Sachverhalt liest sich auf den ersten Blick wie ein alltägliches Versehen: Am 23. Oktober 2018 versendet eine Mitarbeiterin der beklagten Privatbank über den Messenger-Dienst des Karrierenetzwerks Xing eine Nachricht an den falschen Empfänger. Gemeint war der Kläger, der sich im laufenden Bewerbungsverfahren befand; tatsächlich erreicht die Nachricht einen Dritten — einen ehemaligen Branchenkollegen, der den Kläger aus einer früheren gemeinsamen Tätigkeit in derselben Holding kennt.

Der Inhalt der Nachricht ist brisant: Sie nennt den Nachnamen des Klägers, dessen Geschlecht, den laufenden Bewerbungsvorgang, die Haltung der Bank zu dem Kandidaten — der Leiter finde sein „Händlerprofil sehr interessant" — sowie die Gehaltsgrenze, die die Bank bereit ist zu zahlen: 80.000 Euro Jahresgehalt zuzüglich variabler Vergütung. Informationen, die der Kläger bewusst nur im vertraulichen Rahmen des Bewerbungsgesprächs offengelegt hatte.

Der Dritte leitet die Nachricht an den Kläger weiter und fragt nach, ob sie tatsächlich für ihn bestimmt sei — und ob er auf Stellensuche sei. Der Kläger verlangt daraufhin von der Bank Unterlassung künftiger Datenweitergaben und immateriellen Schadensersatz von mindestens 2.500 Euro. Das LG Darmstadt verurteilt zur Unterlassung und zur Zahlung von 1.000 Euro. Das OLG Frankfurt hebt den Schadensersatz auf, lässt aber die Unterlassung bestehen. Die Revision des Klägers und die Anschlussrevision der Beklagten erreichen den BGH — der 2023 zunächst das EuGH-Vorabentscheidungsverfahren C-655/23 einleitet und nun, nach dem EuGH-Urteil vom 4. September 2025, abschließend entscheidet.

Die drei Kernentscheidungen des BGH

1. Anwendungsbereich der DSGVO: Alle in der Nachricht enthaltenen Informationen sind personenbezogene Daten

Der BGH stellt den DSGVO-Anwendungsbereich klar — und ist dabei durchaus großzügig: Die Nachricht enthält durch die Namensnennung, das Geschlecht, den laufenden Bewerbungsvorgang, die Bewerberbewertung durch den Abteilungsleiter und die mittelbar offengelegte Gehaltsvorstellung personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO.

Wichtig ist dabei ein Aspekt, den der BGH unter Verweis auf EuGH C-479/22 ausdrücklich klarstellt: Die Tatsache, dass der Dritte den Kläger aus der Branche kannte und ihn deshalb identifizieren konnte, während ein Außenstehender ihn möglicherweise nicht identifiziert hätte, schadet nicht. Der personenbezogene Charakter einer Information hängt nicht davon ab, ob jeder beliebige Empfänger die Identifikation vornehmen kann — sondern davon, ob die fragliche Person überhaupt identifizierbar ist, und sei es nur für einen Teil möglicher Empfänger. Zudem ist der Bewerber nicht verpflichtet, den Nachweis zu erbringen, dass er tatsächlich identifiziert worden ist.

Dieser Maßstab hat praktische Konsequenzen: Nachrichten, die nur für einen begrenzten Empfängerkreis identifizierend wirken — etwa Informationen in einer Nischenbranche —, fallen genauso unter den DSGVO-Schutz wie offensichtlich personenbezogene Kommunikation.

2. Immaterieller Schaden nach Art. 82 Abs. 1 DSGVO: Kontrollverlust und begründete Befürchtung genügen

Der zentrale Rechtssatz des Urteils betrifft den Begriff des immateriellen Schadens — und hier konsolidiert der BGH, in enger Anlehnung an den EuGH, mehrere Jahre Rechtsprechungsentwicklung zu einer handhabbaren Prüfungsstruktur:

Ausgangspunkt: Verstoß allein genügt nicht

Der bloße Verstoß gegen die DSGVO reicht nicht aus, um einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO zu begründen. Es bedarf eines tatsächlich eingetretenen Schadens als eigenständiger Anspruchsvoraussetzung. Der BGH folgt hier der gefestigten EuGH-Rechtsprechung (zuletzt EuGH C-655/23, Rn. 55 f.; C-526/24, Rn. 59 f.).

Keine Erheblichkeitsschwelle

Gleichzeitig darf der Anspruch nicht von einer Mindesterheblichkeit des Schadens abhängig gemacht werden. Eine nationale Praxis, die Schadensersatz nach Art. 82 DSGVO erst ab einem bestimmten Grad an Schwere oder Erheblichkeit des Schadens zuerkennt, ist mit dem Unionsrecht unvereinbar. Auch ein geringfügiger Schaden ist ein Schaden im Sinne von Art. 82 Abs. 1 DSGVO — er muss nur tatsächlich eingetreten sein und nachgewiesen werden.

Kontrollverlust als eigenständiger Schaden

Gestützt auf Erwägungsgrund 85 DSGVO und eine Reihe von EuGH-Entscheidungen (u. a. C-741/21, Rn. 42; C-590/22, Rn. 33) stellt der BGH klar: Der Unionsgesetzgeber wollte unter den Schadensbegriff ausdrücklich auch den „bloßen Verlust der Kontrolle" über personenbezogene Daten fassen — selbst wenn konkret keine missbräuchliche Verwendung stattgefunden hat. Selbst ein kurzzeitiger Kontrollverlust kann einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO begründen, sofern die betroffene Person nachweist, dass sie tatsächlich einen solchen Schaden erlitten hat.

Begründete Befürchtung missbräuchlicher Verwendung

Ebenfalls als eigenständiger Schadensgrund anerkannt: die durch einen DSGVO-Verstoß ausgelöste Befürchtung einer betroffenen Person, ihre Daten könnten von Dritten missbräuchlich verwendet werden. Diese Befürchtung kann „für sich genommen" einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen — allerdings nur, wenn sie:

• ordnungsgemäß nachgewiesen ist (samt ihrer negativen Folgen),
• unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als „begründet" angesehen werden kann, und
• nicht lediglich eine bloße Behauptung oder ein rein hypothetisches Risiko darstellt.

Negative Gefühle wie Sorge und Ärger können dabei zu den ersatzfähigen Folgen gehören — auch wenn sie „Teil des allgemeinen Lebensrisikos" sein können (EuGH C-655/23, Rn. 62, 64).

Subsumtion im Streitfall: Schaden ab dem Zeitpunkt der Rückfrage

Der BGH bejaht den immateriellen Schaden im konkreten Fall — und bezieht ihn auf einen präzisen Zeitpunkt: Spätestens ab dem Moment, in dem der Dritte die fehlgeleitete Nachricht zur Kenntnis nahm und den Kläger direkt auf seine Bewerbung ansprach, liegt ein immaterieller Schaden vor. Denn:

• Der Dritte hat die Daten bereits genutzt — indem er den Kläger auf seine Bewerbung ansprach. Das ist eine tatsächliche, nicht nur hypothetische missbräuchliche Verwendung. Der Kontrollverlust blieb damit nicht folgenlos.
• Der Kläger hegte die begründete Befürchtung, dass der in der gleichen Branche tätige Dritte die übermittelten Informationen weitergegeben habe oder sich als Konkurrent einen Vorteil im Bewerbungsprozess verschaffen könnte. Diese Befürchtung war angesichts des Verhaltens des Dritten hinreichend begründet.

Die genaue Schadenshöhe (gefordert: mindestens 2.500 Euro) lässt der BGH offen und verweist zur neuen Verhandlung an das OLG Frankfurt zurück.

3. Unterlassungsanspruch: Kein DSGVO-Anspruch, nationales Recht möglich — aber keine Wiederholungsgefahr

Den vom Kläger begehrten Unterlassungsanspruch verneint der BGH — und das auf zwei Ebenen:

Zunächst stellt er auf Basis des EuGH-Urteils C-655/23 klar: Die DSGVO sieht für den Fall, dass ein Betroffener nicht die Löschung seiner Daten nach Art. 17 DSGVO begehrt, keinen eigenständigen unionsrechtlichen Unterlassungsrechtsbehelf vor. Die DSGVO hindert die Mitgliedstaaten aber nicht, einen solchen Anspruch im nationalen Recht zu verankern — und das deutsche Recht kennt diesen in Form der Analogie zu § 1004 Abs. 1 Satz 2 BGB i. V. m. § 823 Abs. 1 BGB (allgemeines Persönlichkeitsrecht, Recht auf informationelle Selbstbestimmung) oder § 823 Abs. 2 BGB i. V. m. Art. 6 DSGVO.

Der Anspruch scheitert aber an einer Grundvoraussetzung: der Wiederholungsgefahr nach § 1004 Abs. 1 Satz 2 BGB. Der Kläger richtete seinen Antrag ausschließlich auf die Unterlassung der konkreten Verletzungshandlung — also der versehentlichen Weiterleitung einer Bewerbernachricht im Rahmen des laufenden Bewerbungsverfahrens. Da das Bewerbungsverfahren zwischenzeitlich abgeschlossen ist, fehlt jede ernsthafte Wahrscheinlichkeit, dass sich dieser spezifische Verstoß wiederholen könnte. Eine Wiederholungsgefahr für diesen konkret beantragten Unterlassungsgegenstand ist nicht gegeben.

Kritische Einordnung: Was dieses Urteil wirklich bedeutet

Der BGH folgt dem EuGH — und konsolidiert Rechtsunsicherheit

Das Urteil ist kein Überraschungsschlag. Es setzt die EuGH-Rechtsprechung aus C-655/23 konsequent um und ergänzt sie um die präzise Subsumtion auf den konkreten Sachverhalt. Für den Praktiker bringt das Urteil vor allem Klarheit in einem Bereich, der in der Instanzrechtsprechung erheblich uneinheitlich war: Wann genau ist der immaterielle Schaden eingetreten, und wie muss er nachgewiesen werden?

Die Antwort des BGH ist strukturiert und kann als Dreistufenprüfung verstanden werden: (1) Liegt ein DSGVO-Verstoß vor? (2) Hat die betroffene Person einen tatsächlichen Schaden erlitten — Kontrollverlust, nachgewiesene Befürchtung oder beides? (3) Besteht ein Kausalzusammenhang zwischen Verstoß und Schaden? Ist das bejaht, entfällt jede Erheblichkeitsschwelle.

Die Messlatte für den Schadensnachweis ist niedriger als oft angenommen — aber nicht abgeschafft

Ein verbreitetes Missverständnis in der Diskussion um Art. 82 DSGVO ist die Gleichsetzung von „keine Erheblichkeitsschwelle" mit „kein Nachweis erforderlich". Der BGH arbeitet das sorgfältig heraus: Die Abschaffung der Erheblichkeitsschwelle befreit nicht vom Nachweis. Wer lediglich behauptet, er sei besorgt, ohne dies unter den gegebenen Umständen glaubhaft zu machen, wird keinen Schadensersatz erhalten. Das hypothetische Risiko — etwa der abstrakte Gedanke „irgendjemand könnte die Daten irgendwann missbrauchen" — genügt nicht.

Was genügt, ist die begründete Befürchtung: eine Sorge, die angesichts der konkreten Umstände — hier: ein Branchenkollege hat die Daten erhalten, hat sie nachweislich zur Kenntnis genommen und hat sie genutzt, um den Kläger direkt anzusprechen — als sachlich verständlich erscheint. Das ist ein Nachweis durch Schilderung des konkreten Erlebens, nicht durch Vorlage medizinischer Gutachten oder psychologischer Diagnosen.

Der Unterlassungsanspruch bleibt das schwächste Glied

Die Verneinung des Unterlassungsanspruchs ist sachgerecht — aber sie verdeutlicht eine strukturelle Schwäche: Das Datenschutzrecht gewährt Betroffenen nach der EuGH-Rechtsprechung keinen eigenständigen unionsrechtlichen Unterlassungsanspruch, solange sie nicht Löschung begehren. Das nationale Recht kann die Lücke füllen — tut es aber nur dann effektiv, wenn die Voraussetzungen (insbesondere Wiederholungsgefahr) erfüllt sind. Für viele Datenpannen-Konstellationen, in denen der Verstoß auf einer einmaligen Situation beruht und sich nicht wiederholen kann, läuft der Unterlassungsanspruch praktisch leer. Betroffene sind dann auf Schadensersatz und Aufsichtsbehörden-Beschwerden angewiesen.

Die Signalwirkung für digitale Recruiting-Tools ist erheblich

Der Sachverhalt — eine falsch adressierte Nachricht in einem Karrierenetzwerk — ist typisch für digitale Recruiting-Workflows: Bewerbermanagement-Systeme, LinkedIn-InMails, Xing-Messenger, automatisierte E-Mail-Systeme. Wer in diesen Kanälen personenbezogene Daten verarbeitet, trägt das Risiko von Fehlversendungen. Das BGH-Urteil macht klar: Schon eine einzige fehlgeleitete Nachricht kann einen immateriellen Schadensersatzanspruch nach Art. 82 DSGVO auslösen — und eine Schadenshöhe von mindestens 1.000 bis 2.500 Euro ist realistisch.

Was Unternehmen jetzt im Datenschutzmanagement umsetzen sollten

Das Urteil richtet sich in erster Linie an Arbeitgeber und Recruiter — seine Prinzipien gelten aber für jede Organisation, die personenbezogene Daten über digitale Kommunikationskanäle versendet.

1. Bewerbermanagement-Prozesse auf Fehlversendungsrisiken prüfen

Identifizieren Sie alle digitalen Kanäle, über die im Bewerbungsverfahren personenbezogene Daten kommuniziert werden: Karrierenetzwerke, E-Mail-Systeme, HR-Software, Messenger-Dienste. Prüfen Sie für jeden Kanal, welche technischen und organisatorischen Maßnahmen verhindern, dass Nachrichten an falsche Empfänger gelangen. Autovervollständigungs-Funktionen in Messenger-Diensten sind ein bekannter Fehlerquell — trainieren Sie Ihr HR-Team im Umgang damit.

2. Vier-Augen-Prinzip für vertrauliche Kommunikation

Nachrichten, die sensible Informationen enthalten — Gehaltsangebote, interne Kandidatenbewertungen, Entscheidungen über Bewerber — sollten vor dem Versand durch eine zweite Person geprüft werden. Das ist operational aufwendig, aber verhältnismäßig angesichts des Schadensersatzrisikos.

3. Datenpannen-Protokoll implementieren

Eine Fehlversendung wie im Streitfall ist eine meldepflichtige Datenpanne nach Art. 33 DSGVO, wenn sie zu einem Risiko für die Rechte und Freiheiten der betroffenen Person führt. Implementieren Sie ein internes Meldeprotokoll, das Fehlversendungen im Bewerbungsverfahren sofort als potenzielle Datenpanne erfasst, die Risikobewertung auslöst und ggf. die 72-Stunden-Meldepflicht gegenüber der Aufsichtsbehörde sowie die Benachrichtigungspflicht nach Art. 34 DSGVO gegenüber dem Bewerber auslöst.

4. Bewerber unverzüglich benachrichtigen

Der BGH ließ offen, ob die Beklagte gegen Art. 34 DSGVO verstoßen hat — denn der Kläger wurde bereits am selben Tag vom Dritten informiert. In anderen Fällen wird das nicht so sein: Der Bewerber erfährt von der Fehlversendung nur dann, wenn der Empfänger ihn informiert oder wenn der Verantwortliche selbst die Initiative ergreift. Die DSGVO verlangt unverzügliche Benachrichtigung bei hohem Risiko. Wer wartet, riskiert einen zusätzlichen Verstoß.

5. Schadensersatzrisiko realistisch einpreisen

Die Größenordnung von 1.000 bis 2.500 Euro pro Datenpanne, die das Urteil indiziert, klingt überschaubar — ist aber pro Vorfall zu verstehen. Wenn ein systematischer Fehler im Bewerbungsprozess zu mehreren Fehlversendungen führt, multipliziert sich das Risiko. Beziehen Sie das immaterielle Schadensersatzrisiko in Ihre Datenschutz-Folgenabschätzungen und Risikobewertungen ein.

6. Vertragliche Regelungen mit Karrierenetzwerk-Betreibern prüfen

Wer Karrierenetzwerke wie Xing oder LinkedIn als Kommunikationskanal im Bewerbungsverfahren nutzt, verarbeitet personenbezogene Daten auf einer Infrastruktur Dritter. Prüfen Sie, ob eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt und ob ein entsprechender Vertrag abgeschlossen ist. Prüfen Sie auch, welche technischen Maßnahmen der Anbieter gegen Fehlversendungen implementiert — und ob diese in einer Datenschutz-Folgenabschätzung dokumentiert sind.

7. Interne Schulungen zum Thema Datenminimierung im Recruiting

Der Sachverhalt zeigt: Sensible Informationen aus dem Bewerbungsprozess — Gehaltsrahmen, interne Kandidatenbewertungen — werden in alltäglicher digitaler Kommunikation übermittelt, oft ohne ausreichende Sorgfalt. Schulen Sie Ihr HR-Team nicht nur im Umgang mit der DSGVO abstrakt, sondern konkret: Welche Informationen dürfen über welchen Kanal übermittelt werden? Wann ist ein sicherer, dedizierter Kanal zu nutzen? Wer prüft die Adressierung vor dem Versand?