Fehlgeleitete Xing-Nachricht: BGH spricht Bewerber DSGVO-Schadenersatz zu

Ein deutsches Gericht hat entschieden, dass ein Bewerber, der aufgrund eines Fehlers eine vertrauliche Bewerbungsnachricht über das soziale Netzwerk Xing erhielt, nach der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union Anspruch auf Entschädigung hat. Das Bundesgericht (BGH) bestätigte dies in seiner Entscheidung vom September 2025, in der der Antrag auf eine einstweilige Verfügung gegen weiteren Datenmissbrauch zurückgewiesen wurde. Der Fall geht auf Oktober 2018 zurück, als ein Mitarbeiter der Quirin-Bank versehentlich eine private Nachricht mit sensiblen Informationen an einen Dritten über die Xing-Plattform verschickte. Der Vorfall ereignete sich während eines über Xing durchgeführten Rekrutierungsprozesses.

Der Mitarbeiter hatte beabsichtigt, eine Nachricht ausschließlich an den Kandidaten zu senden, hat sie aber versehentlich an eine andere Person weitergeleitet, die nicht am Einstellungsprozess beteiligt war. Der Inhalt der Nachricht war alles andere als trivial. Sie enthielt den Nachnamen und das Geschlecht des Kandidaten und wies darauf hin, dass ein Einstellungsprozess im Gange war. Darüber hinaus wurde dargelegt, wie die Bank das Profil des Kandidaten bewertete und ein mögliches Gehalt von 80.000 Euro plus eine variable Vergütung erwähnt. Der unbeabsichtigte Empfänger war kein Fremder, er hatte zuvor mit dem Kandidaten innerhalb derselben Holdingfirma gearbeitet. Er übermittelte die Nachricht an den Kandidaten und fragte direkt, ob er derzeit nach einer neuen Position suchte.

Vor Gericht argumentierte die Privatbank zunächst, dass keine personenbezogenen Daten im Sinne der DSGVO übermittelt worden seien, da der Nachname allein keine eindeutige Identifizierung erlaubte. Das BGH wies dieses Argument jedoch zurück. Die sechste Zivilkammer bestätigte, dass die Nachricht typische Identifizierungsmerkmale enthielt, die für die Definition personenbezogener Daten nach der DSGVO ausreichend seien. Sie betonte, dass die Verordnung keine eindeutige Identifizierung erfordert, sondern lediglich, dass die Person identifiziert werden kann. Dies gilt auch dann, wenn der Empfänger bereits über zusätzliche Kenntnisse über die Person verfügte. Das Urteil der BGH baut auf den Leitlinien des Europäischen Gerichtshofs (EuGH) im September 2025 auf.

Auf Ersuchen des BGH stellte der EuGH klar, dass die DSGVO keinen spezifischen Sachschaden oder einen Schwellenwert für Schadensersatzansprüche vorschreibt. Bedenken, Bedrängnis oder berechtigte Befürchtungen eines Missbrauchs nach einem Datenschutzverstoß reichen aus, um Schäden zu rechtfertigen. Dies ebnete den Weg für die Anerkennung nicht materieller Nachteile, die der BGH nun praktisch in seiner Entscheidung anwendet. Das Urteil des BGH hat erhebliche Auswirkungen auf die Auslegung des nicht materiellen Schadens nach Artikel 82 der DSGVO. Frühere Gerichte hatten die Ansprüche des Klägers zurückgewiesen und argumentiert, dass der Beschwerdeführer einen Datenschutzverstoß beschrieben habe, aber keinen konkreten Schaden.

Der BGH korrigierte diese Haltung und erklärte, dass der Schadensbegriff nach EU-Recht weit ausgelegt werden muss. Nach dem Urteil führt ein bloßer Verstoß nicht automatisch zu einem Anspruch auf Schadensersatz. Unabhängige Beweise für Rechtsverletzungen, Schäden und Kausalität müssen nachgewiesen werden. Der Schaden wurde jedoch in diesem Fall offensichtlich, als der Dritte die Nachricht las und den Beschwerdeführer kontaktierte. Dies stellte eine missbräuchliche Verwendung der Daten dar, wodurch der Verlust der Kontrolle über die Informationen eher als Folge als als harmlos wurde. Darüber hinaus bestätigte das Gericht, dass berechtigte Bedenken hinsichtlich zukünftiger Missbrauchs einen immateriellen Schaden darstellen können.

Da der Empfänger in derselben Branche tätig war, erschien die Befürchtung des Beschwerdeführers, Daten auszutauschen oder einen Nachteil im Wettbewerb zu erleiden, berechtigt. Die Untersuchung des Dritten verwandelte ein abstraktes Risiko in eine konkret nachprüfbare Wirkung. Dies verstärkt den Ansatz der BGH: Ein Anspruch erfordert, dass der Schaden eindeutig mit dem Datenschutzverstoß verbunden ist und dass ein direkter Kausalzusammenhang zwischen dem Verstoß und dem erlittenen Schaden besteht.