DSGVO-Schadensersatz: EuGH-Generalanwalt sieht Grenzen bei provozierten Verstößen

Wer Datenschutzverstöße gezielt und automatisiert provoziert, um finanzielle Entschädigungen einzufordern, hat keinen Anspruch auf immateriellen Schadensersatz nach der Datenschutz-Grundverordnung (DSGVO).

Zu dieser Einschätzung gelangte EuGH-Generalanwalt Maciej Szpunar in seinen am 5. November 2026 vorgelegten Schlussanträgen in der Rechtssache C-654/25 (Undelam). Das Vorabentscheidungsersuchen geht auf einen Beschluss des Bundesgerichtshofs vom 28. August 2025 (Az. VI ZR 258/24) zurück.

Fehlender Schaden bei gezielt arrangierten Datenübertragungen

Nach Ansicht von Generalanwalt Szpunar setzt ein Anspruch nach Artikel 82 DSGVO kumulativ drei Kriterien voraus: einen Verstoß gegen die Verordnung, das Vorliegen eines Schadens sowie die Kausalität zwischen beiden Elementen. Ein bloßer Datenschutzverstoß begründe für sich genommen noch keinen Entschädigungsanspruch.

Werde ein Verstoß bewusst, automatisiert und wiederholt hervorgerufen, um daraus finanzielle Ansprüche abzuleiten, fehle es an einem tatsächlichen immateriellen Schaden. Betroffene erlitten in solchen Konstellationen weder einen echten Kontrollverlust über ihre Daten noch begründete Ängste vor Missbrauch.

Die Informationen seien vielmehr exakt so übertragen worden, wie die agierende Partei es zuvor selbst arrangiert habe. Zudem greife hilfsweise der Grundsatz des Rechtsmissbrauchs: Rechtsmissbräuchliche Methoden zur künstlichen Schaffung von Zahlungsansprüchen fielen nicht unter den Schutz der DSGVO.

Lücken in der Dokumentation können Unternehmen teuer zu stehen kommen, falls Datenschutzbehörden Prüfungen einleiten. Eine kostenlose Excel-Vorlage hilft Ihnen dabei, das notwendige Verarbeitungsverzeichnis rechtssicher und mit minimalem Aufwand zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen

Einstufung dynamischer IP-Adressen

Zur Qualifikation der übermittelten Daten stellte Generalanwalt Szpunar fest, dass eine dynamische IP-Adresse gegenüber dem Empfänger als personenbezogenes Datum gelte, sofern dieser vernünftigerweise über Mittel zu einer Identifizierung verfüge; hierfür genüge bereits ein nicht unerhebliches Risiko. Gegenüber der übermittelnden Stelle liege ein Personenbezug vor, wenn diese um die Identifizierbarkeit wusste oder hätte wissen müssen.

Massenhafte Abmahnungen rund um Google Fonts als Auslöser

Hintergrund des Verfahrens sind weit verbreitete Abmahnwellen im Zusammenhang mit der dynamischen Einbindung des Dienstes Google Fonts. Dabei hatten Webcrawler Zehntausende Internetseiten automatisch durchsucht, woraufhin eine Kanzlei Zahlungsaufforderungen über Beträge wie 170 Euro an die Seitenbetreiber verschickte.

Im konkreten Ausgangsfall zahlte ein betroffener Webseitenbetreiber zunächst die geforderten 170 Euro, klagte anschließend jedoch auf Rückzahlung. In den Vorinstanzen sprach das Amtsgericht Hannover dem Kläger 70 Euro zu, während das Landgericht Hannover die vollständige Rückzahlung von 170 Euro zuerkannte. Daraufhin landete das Verfahren beim Bundesgerichtshof, der die Rechtsfragen zur Vorabentscheidung an den Europäischen Gerichtshof weiterleitete.

Wer im digitalen Geschäftsalltag die Übersicht über alle Pflichten behalten möchte, profitiert von strukturierten Arbeitshilfen. Erfahren Sie in diesem kostenlosen Ratgeber, welche Anforderungen nach Art. 30 DSGVO wirklich zählen und wie Sie häufig übersehene Pflichtfelder korrekt ausfüllen. Experten-Vorlage für das Verarbeitungsverzeichnis kostenlos sichern

Die Ausführungen des Generalanwalts stellen noch kein abschließendes Urteil dar; die endgültige Entscheidung des Europäischen Gerichtshofs steht noch aus. In der Rechts- und Unternehmensberatung wird Webseitenbetreibern bereits empfohlen, externe Schriften wie Google Fonts grundsätzlich lokal auf dem eigenen Server einzubinden und eingehende Abmahnungen vor einer Zahlung juristisch prüfen zu lassen.