Eine versehentliche Datenweitergabe durch eine Bank begründet einen immateriellen Schadensersatzanspruch nach der DSGVO, schließt aber einen Unterlassungsanspruch aus, wenn keine Wiederholungsgefahr besteht (BGH, Urt. v. 23.06.2026 - Az.: VI ZR 97/22).
In dem zugrundeliegenden Fall stand der klägerische Bewerber mit der Beklagten, einer Privatbank, über das Karrierenetzwerk Xing in Kontakt.
Eine Bank-Mitarbeiterin schickte versehentlich eine nur für ihn bestimmte Nachricht an einen Dritten. Die Nachricht enthielt seinen Namen, sein Geschlecht, Angaben zum laufenden Bewerbungsprozess, seine Gehaltsvorstellungen und ein konkretes Angebot.
Da der Dritte den Bewerber kannte, sprach er ihn daraufhin auf die Bewerbung an. Der Bewerber fühlte sich dadurch bloßgestellt und befürchtete weitere Weitergaben seiner Daten. Er machte daraufhin DSGVO-Schadensersatz und einen Unterlassungsanspruch geltend.
Das LG gab dem Unterlassungsantrag statt und sprach dem Kläger 1.000,- EUR immateriellen Schadensersatz sowie vorgerichtliche Kosten zu. Das OLG hob den Schadensersatz auf, hielt das Unterlassungsgebot jedoch aufrecht.Der BGH hob das Urteil des OLG auf, wies die Unterlassungsklage ab und bejahte dem Grunde nach den Anspruch auf immateriellen Schadensersatz. Bezüglich der Höhe des Schadensersatzes verwies er die Sache an das Berufungsgericht zurück.Die Nachricht enthalte personenbezogene Daten und sei unbefugt an einen Dritten übermittelt worden.
Nach Auffassung des BGH stellte dies eine rechtswidrige Verarbeitung dar.
Der Bewerber habe einen immateriellen Schaden spätestens in dem Moment erlitten, als der Dritte die Information nutzte, um ihn auf die Bewerbung anzusprechen.
Der Kontrollverlust über die Daten sei damit nicht folgenlos geblieben, da eine tatsächliche missbräuchliche Verwendung stattgefunden habe. Zudem sei die Furcht des Bewerbers vor einer weiteren Weitergabe durch einen Branchenkollegen unter den gegebenen Umständen nachvollziehbar und begründet gewesen.
Das Gericht stellte klar, dass für einen Schadensersatzanspruch kein Mindestschweregrad erreicht sein müsse, jedoch ein tatsächlicher Schaden dargelegt werden müsse. Dies sei hier der Fall:
"Nach diesen Maßstäben ist vorliegend von einem immateriellen Schaden des Klägers im Sinne von Art. 82 DSGVO spätestens ab dem Zeitpunkt auszugehen, zu dem der Dritte, an den die Beklagte die personenbezogenen Daten des Klägers unbefugt übermittelt hatte, diese zur Kenntnis und zum Anlass nahm, sich mit einer Rückfrage an den Kläger hinsichtlich dessen Bewerbung bei der Beklagten zu wenden.
Denn zum einen lag darin bereits eine missbräuchliche Verwendung der Daten, so dass der mit ihrer Versendung an den Dritten verbundene Kontrollverlust für den Kläger nicht folgenlos geblieben ist.
Der Rechtsprechung des Gerichtshofs lässt sich ohne Zweifel entnehmen, dass jedenfalls in
einem solchen Fall ein immaterieller Schaden im Sinne von Art. 82 DSGVO vorliegt."
Der Unterlassungsanspruch nach nationalem Recht scheitere hingegen am Fehlen einer Wiederholungsgefahr. Es habe sich um eine einmalige Sondersituation im inzwischen beendeten Bewerbungsverfahren gehandelt:
"Denn Voraussetzung für das Bestehen eines Unterlassungsanspruchs nach nationalem Recht ist in jedem Fall, dass künftig (weitere) Beeinträchtigungen der Rechte des Anspruchstellers zu besorgen sind, § 1004 Abs. 1 Satz 2 BGB. Daran fehlt es hier.
Das Berufungsgericht hat eine Wiederholungsgefahr bezüglich des geltend gemachten Unterlassungsbegehrens zu Unrecht bejaht."