Gehaltswunsch an den Falschen: Schon Ärger ist ein Schaden

Eine Nachricht, ein falscher Empfänger

Ein Bewerber verhandelt mit einer Privatbank über eine Stelle. Das Verfahren läuft über das Karrierenetzwerk Xing. Am 23. Oktober 2018 schreibt ihm eine Mitarbeiterin der Bank über den Messenger des Portals: Sein Händlerprofil sei interessant, seine Gehaltsvorstellungen könne die Bank aber nicht erfüllen. Möglich seien 80.000 Euro plus variable Vergütung. Die Nachricht war freundlich formuliert. Nur ging sie zusätzlich an eine Person, die mit dem Verfahren nichts zu tun hatte.

Dieser Dritte hatte früher mit dem Bewerber in derselben Holding gearbeitet. Er leitete die Nachricht weiter und fragte, ob sie für den Bewerber bestimmt sei und ob dieser auf Stellensuche sei. Die Bank berücksichtigte den Bewerber später nicht weiter. Der verlangte daraufhin, dass die Bank solche Pannen künftig unterlässt, und Schadensersatz von mindestens 2.500 Euro.

Von Darmstadt über Luxemburg nach Karlsruhe

Der Fall beschäftigte die Gerichte von 2020 bis 2026. Das Landgericht Darmstadt verurteilte die Bank zur Unterlassung und zu 1.000 Euro Schadensersatz. Das Oberlandesgericht Frankfurt bestätigte die Unterlassung, strich aber den Schadensersatz: Der Bewerber habe keinen konkreten Schaden nachgewiesen. Der Bundesgerichtshof legte die offenen Fragen dem Europäischen Gerichtshof vor.

Der EuGH antwortete mit Urteil vom 4. September 2025 (C-655/23, Quirin Privatbank). Auf dieser Grundlage schloss der BGH den Fall mit Urteil vom 23. Juni 2026 (VI ZR 97/22) ab. Das Ergebnis: Schadensersatz ja, Unterlassung nein. Die Höhe des Schadensersatzes muss das Oberlandesgericht nun neu bestimmen.

Schadensersatz nach der DSGVO: Ärger zählt

Grundlage ist Artikel 82 der DSGVO. Danach kann jeder, dem durch einen Verstoß gegen die Verordnung ein Schaden entsteht, Ersatz vom Verantwortlichen verlangen. Das gilt auch für immaterielle Schäden, also Nachteile, die sich nicht in Geld beziffern lassen. Drei Dinge müssen zusammenkommen: ein Verstoß, ein Schaden und ein Zusammenhang zwischen beiden.

Der EuGH hat den Begriff des Schadens weit gefasst. Negative Gefühle wie Sorge oder Ärger genügen. Auslöser kann der Verlust der Kontrolle über die eigenen Daten sein, eine mögliche missbräuchliche Verwendung oder eine Rufschädigung. Eine Bagatellgrenze gibt es nicht. Der Betroffene muss aber nachweisen, dass er diese Gefühle gerade wegen des Verstoßes empfindet. Ein Verstoß ohne spürbare Folge reicht ebenso wenig wie ein rein hypothetisches Risiko.

Versehen oder Absicht: für die Höhe egal

Zwei weitere Antworten des EuGH betreffen die Höhe des Ersatzes. Erstens spielt es keine Rolle, ob der Verantwortliche vorsätzlich oder fahrlässig gehandelt hat. Der Schadensersatz nach der DSGVO soll ausgleichen, nicht bestrafen. Für Strafen sind die Bußgelder der Aufsichtsbehörden zuständig. Ob Versehen oder Absicht, der Betrag bleibt derselbe.

Zweitens darf ein Gericht den Geldbetrag nicht kürzen, weil der Betroffene zusätzlich eine Unterlassung erreicht hat. Die Unterlassung wirkt für die Zukunft, der Schadensersatz gleicht die Vergangenheit aus. Das eine kann das andere weder ersetzen noch mindern.

Der BGH: Schaden ja, Unterlassung nein

Der BGH wandte diese Vorgaben an. Spätestens als der Dritte die Nachricht las und beim Bewerber nachfragte, lag ein Schaden vor. Diese Nachfrage war für den BGH bereits eine missbräuchliche Verwendung der Daten. Der Kontrollverlust blieb also nicht folgenlos. Zudem war die Befürchtung des Bewerbers begründet, dass ein Konkurrent aus derselben Branche die Informationen weitergibt oder sich damit einen Vorteil verschafft. Der Bewerber hatte auch geltend gemacht, das Unterliegen in der Gehaltsverhandlung als Schmach zu empfinden.

Den Unterlassungsanspruch wies der BGH dagegen ab. Die DSGVO selbst sieht einen solchen vorbeugenden Anspruch nicht vor, das deutsche Recht kennt ihn aber. Nach einem Verstoß wird vermutet, dass er sich wiederholt. Diese Vermutung lässt sich nur unter strengen Anforderungen entkräften, etwa wenn eine einmalige Sondersituation den Verstoß ausgelöst hat. So lag es hier: Der Bewerber wollte nur verhindern, dass sich der konkrete Fehler im laufenden Bewerbungsverfahren wiederholt. Dieses Verfahren war längst abgeschlossen.

Was Personalabteilungen daraus lernen

Gehaltsvorstellungen, Absagen und Angebote gehören zu den heikelsten Daten, die ein Unternehmen verschickt. Solche Nachrichten gehen laufend über E-Mail, Bewerberportale und Messenger hinaus. Ein falscher Empfänger genügt, und aus einer Routinenachricht wird ein Datenschutzverstoß mit Schadensersatzpflicht. Dass es ein Versehen war, hilft dabei nicht. Und der Betroffene muss keine schlaflosen Nächte belegen. Sorge und Ärger reichen, wenn sie begründet sind.

Der wirksamste Schutz ist der Blick ins Empfängerfeld vor dem Absenden. Sinnvoll ist ein fester Versandweg, bei dem der Empfänger an die Bewerbung gekoppelt ist, etwa das Bewerbermanagementsystem. Bei Angeboten und Absagen mit Zahlen hilft ein zweites Augenpaar. Und was nicht in der Nachricht steht, kann auch nicht beim Falschen landen: Die Gehaltsvorstellung des Bewerbers muss in einer Antwort nicht wiederholt werden.

Passiert die Panne trotzdem, zählt der Zeitpunkt. Der BGH sah den Schaden spätestens dann, als der falsche Empfänger die Nachricht las und reagierte. Wer den Fehler bemerkt, sollte den falschen Empfänger um Löschung bitten und den Bewerber offen informieren. Der Bewerber im Fall der Bank verlangte neben dem Schadensersatz auch die Erstattung seiner vorgerichtlichen Anwaltskosten. Über beides muss das Oberlandesgericht jetzt entscheiden.