Fehler im Bewerbungsprozess führt zu DSGVO-Schadensersatz

Der Fehler einer Bank in Berlin in einem Bewerbungsprozess über das Jobportal Xing sorgte bereits im Jahr 2018 für den Beginn eines jahrelangen Rechtsstreits, der nun mit einem Urteil des Bundesgerichtshofs (BGH) auf die Zielgerade einzubiegen scheint. Vorangegangen war ein Ritt durch die zivilrechtlichen Instanzen, der über einen Umweg über den Europäischen Gerichtshof (EuGH), nun wieder zur Entscheidung beim OLG Frankfurt am Main liegt.

Der Rechtsstreit im Überblick

Begonnen hat der Sachverhalt mit einer Bewerbung eines Jobkandidaten über die Plattform Xing, die einen Kontakt zwischen der Berliner Quirin Privatbank AG und dem späteren Kläger herstellte. Der Austausch über unterschiedliche Gehaltsvorstellungen sollte später noch eine zentrale Rolle im Prozess spielen. Im Kern wollte die Bank dem Bewerber die gewünschte Position zu einem niedrigerem Gehalt, als von diesem gefordert anbieten. Dieser Umstand allein begründete jedoch noch keinen langwierigen Rechtsstreit. Den Stein ins Rollen brachte ein Fehler einer Mitarbeiterin der Bank, die den Nachrichtenaustausch an einen unbeteiligten Dritten gelingen ließ. Jener war ein ehemaliger Kollege des Bewerbers und wendete sich mit den Nachrichten sogleich an den Kläger, der nach dem Scheitern seiner Bewerbung von der Bank die Unterzeichnung einer strafbewehrten Unterlassungserklärung, Schadensersatz in Höhe von mindestens 2.500 Euro, Auskunft über die Datenverarbeitung nach der DSGVO und zuletzt Ersatz seiner Rechtsverfolgungskosten verlangte. Die beklagte Bank sah sich jedoch soweit im Recht, dass sie lediglich die Unterlassungserklärung hinsichtlich der weiteren Verbreitung des Nachrichtenverlaufs abgab.

Gerichtliches Ping-Pong

Im Februar 2019 hatte der Kläger das gerichtliche Verfahren erstinstanzlich vor dem LG Darmstadt (Urteil v. 26.05.2020 – 12 O 244/19) insoweit gewonnen, dass ihm Schadensersatz zugesprochen wurde. In der Berufung vor dem OLG Frankfurt am Main wurde die Entscheidung jedoch direkt kassiert. Das Gericht sah zwar einen Verstoß gegen die DSGVO, jedoch fehlte es nach Ansicht des Spruchkörpers an einem ersatzfähigen Schaden im Sinne des Art. 82 Abs. 1 DSGVO. Die Norm gewährt dem Betroffenen eines Datenschutzverstoßes den Ersatz des darauf beruhenden Schaden – erfasst sind dabei materielle als auch immaterielle Schäden. Ein materieller Schaden kam hier nicht in Betracht, jedoch bestand der Kläger wegen seiner erlittenden „Schmach“ gegenüber seines ehemaligen Kollegen auf die gerichtliche Anerkenntnis eines immateriellen Schadens. Dieser müsse laut dem OLG jedoch in einem konkreten Umstand, wie Angst, Stress, Komfort- oder Zeiteinbußen liegen, der vom Kläger jedoch nicht substantiiert darlegt werden könne.

EuGH konkretisiert den Schadensbegriff

Der klagende ehemalige Bewerber gab sich mit dieser Niederlage vor dem OLG nicht zufrieden und ging in Revision zum Bundesgerichtshof nach Karlsruhe. Der BGH sah sich aufgrund von Auslegungsfragen hinsichtlich des Art. 82 Abs. 1 DSGVO gezwungen in einem Vorabentscheidungsverfahren gem. § 267 Abs. 1, 3 AEUV den Europäischen Gerichtshof anzurufen (Beschluss v. 26.09.2023 – VI ZR 97/22). Der BGH wollte sich Klarheit über folgende entscheidungserhebliche Fragen verschaffen:

1. Kann aus Art. 17 DSGVO ein Anspruch auf Unterlassung einer erneuten Verbreitung von Daten verlangt werden, obwohl der Betroffene nicht die Löschung verlangt hat?
2. Kann sich eine solcher Anspruch mitunter auch aus Art. 18 DSGVO oder einer sonstigen Norm der DSGVO ergeben?
3. Falls ein Unterlassungsanspruch bestehe, müsse zur Bejahung des Anspruchs eine Wiederholungsgefahr gegeben sein und würde eine solche bei Vorliegen eines Datenschutzverstoßes vermutet?
4. Falls ein ein Unterlassungsanspruch aus der DSGVO verneint werde, bestünde die Möglichkeit einen gleichartigen Anspruch aus nationalem Recht anzuwenden?
5. Reichen für die Annahme eines immateriellen Schaden nach Art. 82 Abs. 1 DSGVO bloße negative Gefühle, wie Angst, Unmut, Sorge oder Ärger?
6. Ist bei der Bemessung der Höhe des immateriellen Schadensersatzanspruchs nach Art. 82 Abs. 1 DSGVO der Grad des Verschuldens des Anspruchsgegners mit zu berücksichtigen?
7. Falls dem Betroffenen ein Unterlassungsanspruch nach DSGVO zustünde, sei dieser anspruchsmindernd auf den möglicherweise parallel bestehenden Schadensersatzanspruch zu berücksichtigen?

Das höchste EU-Gericht entschied daraufhin, dass ein immaterieller Schadenersatzanspruch auch bei dem Nachweis von konkreten negativen Gefühlen im Sinne des Art. 82 Abs. 1 DSGVO vorliegen kann (Urteil v. 04.09.2025 – C-655/23). Der Beweis dieses Umstands, obliege jedoch dem Kläger selbst. Der EuGH sah ferner ein Anspruch auf Unterlassen nach der DSGVO bei gleichzeitig fehlendem Verlangen nach Löschung der Daten als nicht gegeben an. Einzig das nationale Recht helfe dort weiter. Nach deutschem Zivilrecht wäre für einen sogenannten quasi-negatorischen Unterlassungsanspruch gem. §§ 823, 1004 BGB analog insbesondere eine Wiederholungsgefahr nötig. Falls ein solcher Anspruch bestünde, dürfe dieser aber jedoch keine Auswirkung auf die Höhe eines Schadensersatzes haben, urteilte das Luxemburger Gericht.

BGH schafft Klarheit

Der BGH stellte nun in seiner Entscheidung (Urteil v. 23.06.2026 – VI ZR 97/22) zunächst fest, dass der Anwendungsbereich der DSGVO eröffnet sei. Dies hatte die beklagte Bank bestritten. Laut den Karlsruher Richter sind die Nachrichten als personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO anzusehen. Die Bank sei zudem Verantwortliche für die Datenverarbeitung gem. Art. 4 Nr. 7 DSGVO. Das Versenden der Nachrichten über das Jobportal stelle eine teilweise automatisierte „Offenlegung durch Übertragung“ nach Art. 4 Nr. 2 DSGVO dar, die durch die fehlerhafte Übermittlung an einen Dritten eine unrechtmäßige Verarbeitung gewesen sei, vgl. Art. 6 Abs. 1 DSVO.

Weiterhin sei der Begriff des Schadens weit auszulegen. Bereits der kurzzeitige Verlust der Kontrolle über die eigenen Daten könne einen Schadensersatzanspruch begründen. Entscheidend sei die hinreichende Darlegung eines Kontrollverlusts seitens des Betroffenen. Vorliegend habe der Kläger spätestens zum Zeitpunkt der Kontaktaufnahme durch seinen ehemaligen Kollegen einen solchen Kontrollverlust erlitten.

Ein darüber hinaus geforderter Anspruch auf Unterlassen bestehen dagegen nicht, so der BGH. Wie der EuGH bereits entschieden habe, böte die DSVO keine entsprechende Rechtsgrundlage, soweit der Betroffene nicht auch die Löschung der Daten verlange. Für eine zivilrechtlichen Unterlassungsanspruch nach dem BGB, fehle es an der erforderlichen Wiederholungsgefahr der rechtswidrigen Verbreitung der Nachrichten. Der BGH hob im Ergebnis das Urteil des OLG Frankfurt am Main gem. § 562 Abs. 1 ZPO auf und verwies das Verfahren gem. § 563 Abs. 1 S. 1 ZPO an das Berufungsgericht zur endgültigen Entscheidung über die Höhe des Schadensersatzes. Dabei habe das Gericht die genannten Ausführungen des EuGH und des BGH zu beachten.

Praktische Bedeutung des Rechtsstreits

Der Fall verdeutlicht die Wichtigkeit eines rechtssicheren Umgangs mit personenbezogenen Daten im Bewerbungsprozess und anderen beruflichen Tätigkeitsfeldern. Der BGH setzt auf Grundlage der Entscheidung des EuGH vergleichsweise geringe Anforderungen an die Bejahung eines Schadensersatzanspruchs nach Art. 82 Abs. 1 DSGVO. In der Praxis kann dies zu einem höheren Risiko für Verantwortliche der Datenverarbeitung führen, die nicht zuletzt in umfangreichen Klageverfahren enden können.

Wir beraten Sie gerne in allen datenschutzrechtlichen Fragestellungen und stehen Ihnen als verlässlicher und kompetenter Partner bei Bedarf zur Seite. Kontaktieren Sie uns unverbindlich.