E-Mail an falschen Empfänger: BGH bejaht Schadensersatz

Eine Nachricht, ein falscher Empfänger – und ein Anspruch auf Schadensersatz. Der Bundesgerichtshof hat am 23. Juni 2026 entschieden, dass bereits eine einzige fehlgeleitete Nachricht einen immateriellen Schaden nach Art. 82 DSGVO begründen kann (Az. VI ZR 97/22). Für kleine und mittlere Unternehmen ist das ein sehr praktisches Urteil, denn Fehlversand passiert im Tagesgeschäft ständig.

Der Fall: Bewerbernachricht beim falschen Adressaten

Eine Mitarbeiterin einer Privatbank verschickte über das Karrierenetzwerk Xing eine Nachricht zu einem laufenden Bewerbungsverfahren – jedoch an den falschen Empfänger. Der Dritte kannte den Bewerber aus der Branche. Er erfuhr so von der Bewerbung, von der internen Einschätzung des Kandidaten und vom angebotenen Gehaltsrahmen. Anschließend sprach er den Bewerber direkt darauf an.

Nach mehreren Instanzen und einer Vorlage an den Europäischen Gerichtshof (C-655/23) steht nun fest: Ein Anspruch auf immateriellen Schadensersatz besteht dem Grunde nach. Über die Höhe entscheidet das Oberlandesgericht Frankfurt am Main neu – im Verfahren standen 1.000 bis 2.500 Euro im Raum. Einen Unterlassungsanspruch lehnte der BGH dagegen ab, weil das Bewerbungsverfahren abgeschlossen war und damit keine Wiederholungsgefahr mehr bestand.

Warum das Urteil für KMU wichtig ist

Kontrollverlust genügt als Schaden

Ein konkreter Missbrauch der Daten muss nicht nachgewiesen werden. Nach dem BGH kann schon der Verlust der Kontrolle über die eigenen Daten ein Schaden sein – ebenso die begründete Befürchtung, Dritte könnten die Daten missbrauchen. Im Streitfall genügte, dass der falsche Empfänger die Information tatsächlich zur Kenntnis nahm und nutzte.

Es gibt keine Bagatellgrenze

Einen Mindestschaden verlangt die DSGVO nicht. Auch ein geringer Schaden ist ein Schaden. Allerdings muss die betroffene Person ihn darlegen: Eine pauschale Behauptung oder ein rein hypothetisches Risiko reicht dem BGH ausdrücklich nicht aus.

Ein einziger Vorfall reicht aus

Der Auslöser war kein Hackerangriff, sondern ein Versehen. Genau das macht das Urteil relevant: Eine E-Mail an den falschen Empfänger entsteht durch Autovervollständigung im Mailprogramm, einen falschen Anhang oder CC statt BCC – solche Fehler passieren in jedem Büro. Und bei einem systematischen Fehler im Prozess vervielfacht sich das Risiko pro Vorfall.

Was Sie jetzt konkret tun sollten

1. Vier-Augen-Prinzip für sensible Nachrichten. Gehaltsangebote, Bewerberbewertungen, Abmahnungen, Gesundheitsdaten: Vor dem Versand prüft eine zweite Person den Empfänger.
2. Fehlversand als Datenpanne behandeln. Eine falsch adressierte Nachricht mit personenbezogenen Daten kann eine meldepflichtige Datenpanne nach Art. 33 DSGVO sein. Die 72-Stunden-Frist läuft ab Kenntnis – nicht ab vollständiger Aufklärung.
3. Betroffene aktiv informieren. Bei hohem Risiko verlangt Art. 34 DSGVO eine unverzügliche Benachrichtigung. Wer abwartet, riskiert einen zweiten Verstoß.
4. Kanäle im Recruiting und Vertrieb prüfen. Bewerbermanagement, Messenger in Karrierenetzwerken, Serienmails: Legen Sie fest, welche Informationen über welchen Weg gehen dürfen.
5. Verarbeitungen dokumentieren. Ohne aktuelles Verarbeitungsverzeichnis lässt sich im Ernstfall nicht beurteilen, welche Daten betroffen sind.
6. Mitarbeitende schulen und das nachweisen. Schulungsnachweise entlasten Sie gegenüber der Aufsichtsbehörde und im Zivilprozess.

Fazit

Das Urteil verschärft keine Pflichten, es macht die Folgen nur sichtbarer: Ein Klick auf den falschen Namen kann vierstellig werden. Wirksam dagegen sind keine juristischen Kunstgriffe, sondern saubere Abläufe, geschulte Mitarbeitende und eine belastbare Dokumentation – zum Beispiel mit einer strukturierten Datenschutz-Management-Software. Weitere Grundlagen finden Sie in unseren häufigen Fragen zur DSGVO.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.