Rechtsanwalt & Fachanwalt für gewerblichen Rechtsschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht, Vertragsrecht und Datenschutz
T (+49) 040 / 7344 086-0
Blog News
XING verbindet mehr als 21 Millionen Mitglieder im deutschsprachigen Raum. XING-Nachrichten über Bewerbungen, Gehalt oder berufliche Wechselabsichten erreichen dort mit wenigen Klicks ihre Empfänger – und im schlimmsten Fall auch die falsche Person.
Das geschah in einem Fall, mit dem sich der Bundesgerichtshof befassen musste. Eine Privatbank verschickte im Rahmen eines Bewerbungsverfahrens eine Nachricht mit vertraulichen Angaben zum Gehalt versehentlich über Xing an einen ehemaligen Kollegen des Bewerbers. Für den Betroffenen bedeutete die Fehlversendung mehr als nur einen Datenschutzverstoß – er fühlte sich durch die Offenlegung persönlicher Informationen bloßgestellt.
Mit Urteil vom 23. Juni 2026 (Az. VI ZR 97/22) hatte der VI. Zivilsenat des Bundesgerichtshofs zu klären, unter welchen Voraussetzungen eine solche Fehlübermittlung einen Anspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO begründet. Die Entscheidung konkretisiert, welche Beeinträchtigungen Betroffene darlegen müssen und wann eine versehentliche Weitergabe personenbezogener Daten tatsächlich einen ersatzfähigen Schaden begründet.
Ein Bewerber befand sich 2018 bei einer Berliner Privatbank in einem Bewerbungsverfahren, das über Xing geführt wurde. Am 23. Oktober 2018 verschickte eine Mitarbeiterin der Bank über den Messenger des Karriereportals eine Nachricht, die eigentlich nur für den Bewerber bestimmt war. Darin ging es unter anderem um seine Bewerbung, seine Gehaltsvorstellungen und das Angebot der Bank von 80.000 Euro zuzüglich variabler Vergütung.
Die Nachricht erreichte jedoch auch einen Dritten, der mit dem Bewerbungsverfahren nichts zu tun hatte. Dieser kannte den Bewerber aus einer früheren gemeinsamen Tätigkeit in derselben Holding. Nachdem er die Nachricht erhalten hatte, leitete er sie an den Bewerber weiter und fragte ihn, ob die Mitteilung für ihn bestimmt sei und ob er sich derzeit nach einer neuen Stelle umsehe.
Damit gelangten mehrere personenbezogene Informationen an eine außenstehende Person. Dazu gehörten sein Nachname, sein aus der Anrede hervorgehendes Geschlecht, das laufende Bewerbungsverfahren, die Einschätzung der Bank zur Bewerbung und mittelbar auch die Größenordnung seiner Gehaltsvorstellung.
Der Bewerber befürchtete außerdem, dass der frühere Kollege die Informationen weitergeben oder sie innerhalb derselben Branche zu seinem eigenen Vorteil nutzen könnte.
Nachdem die Bank dem Bewerber später mitgeteilt hatte, dass er im Auswahlverfahren nicht weiter berücksichtigt werde, machte er die Fehlversendung geltend. Im Februar 2019 verlangte er unter anderem eine strafbewehrte Unterlassungserklärung, Auskunft über die Datenverarbeitung, mindestens 2.500 Euro Schadensersatz und die Erstattung seiner Rechtsverfolgungskosten. Die Bank gab lediglich eine auf die erneute Verbreitung der konkreten Xing-Nachricht bezogene Unterlassungserklärung ab und wies die weiteren Forderungen zurück.
Der BGH widersprach der Auffassung des OLG Frankfurt. Nach Art. 82 Abs. 1 DSGVO reicht ein Datenschutzverstoß für sich allein zwar weiterhin nicht für einen Schadensersatzanspruch aus. Betroffene müssen zusätzlich einen materiellen oder immateriellen Schaden nachweisen. Der Schaden muss jedoch keine bestimmte Erheblichkeit oder Schwere erreichen. Auch geringfügige Beeinträchtigungen können grundsätzlich ausreichen.
Im Fall des Bewerbers sah der BGH einen solchen immateriellen Schaden als gegeben an. Ausschlaggebend war, dass der ehemalige Kollege die fehlgeleiteten Informationen tatsächlich zur Kenntnis nahm und den Bewerber anschließend auf seine Bewerbung ansprach. Der Kontrollverlust über die Daten blieb damit nicht folgenlos. Hinzu kam die Befürchtung des Bewerbers, der in derselben Branche tätige Dritte könne die Informationen weitergeben oder sie bei künftigen Bewerbungen als Konkurrent zu seinem Vorteil nutzen. Angesichts der bereits erfolgten Nachfrage hielt der BGH diese Sorge für hinreichend begründet.
Der Senat bestätigte zugleich, dass die Nachricht mehrere personenbezogene Daten enthielt. Neben dem Nachnamen und dem aus der Anrede hervorgehenden Geschlecht gehörten dazu das laufende Bewerbungsverfahren, die Einschätzung der Bank zur Bewerbung und mittelbar auch die Größenordnung der Gehaltsvorstellungen. Die Übermittlung an den unbeteiligten Dritten erfolgte ohne Rechtsgrundlage und verstieß damit gegen Art. 6 Abs. 1 DSGVO.
Der Anspruch aus Art. 82 Abs. 1 DSGVO steht damit dem Grunde nach fest. Wie hoch der immaterielle Schadensersatz ausfällt, muss das OLG Frankfurt nach der Zurückverweisung neu bestimmen
Den zusätzlich geltend gemachten Unterlassungsanspruch lehnte der BGH ab, weil das Bewerbungsverfahren inzwischen beendet war und für eine Wiederholung derselben Fehlversendung keine ausreichende Gefahr mehr bestand.
Eine versehentlich an einen Dritten geschickte Bewerbungsnachricht kann Ärger, Unsicherheit oder die Sorge auslösen, dass vertrauliche Informationen weiterverbreitet werden. Ob solche Folgen bereits für einen Schadensersatzanspruch nach der DSGVO ausreichen, war rechtlich lange umstritten.
Der BGH legte dem Europäischen Gerichtshof deshalb im September 2023 mehrere Fragen zur Auslegung der DSGVO vor. Der EuGH entschied am 4. September 2025 in der Rechtssache C-655/23 (Quirin Privatbank), dass auch negative Gefühle wie Sorge oder Ärger infolge eines Kontrollverlusts, einer möglichen missbräuchlichen Verwendung oder einer Rufschädigung einen immateriellen Schaden darstellen können, sofern die betroffene Person diese Gefühle und ihre negativen Folgen nachweist. Voraussetzung bleibt, dass der Betroffene diese Beeinträchtigungen nachweist.
Auf dieser Grundlage befasste sich der BGH erneut mit dem Fall. Mit Urteil vom 23. Juni 2026 kam der VI. Zivilsenat zu dem Ergebnis, dass dem Bewerber dem Grunde nach ein Anspruch auf Schadensersatz aus Art. 82 Abs. 1 DSGVO zusteht.
Eine Nachricht an den falschen Empfänger kann eine Verletzung des Schutzes personenbezogener Daten darstellen. Unternehmen sollten deshalb nicht nur versuchen, die weitere Verbreitung zu verhindern, sondern auch mögliche Melde- und Informationspflichten nach der DSGVO prüfen.
Nach Bekanntwerden der Fehlversendung sollte zunächst versucht werden, die Auswirkungen einzudämmen. Dazu kann gehören, den falschen Empfänger unverzüglich zu kontaktieren und ihn zur Löschung der Nachricht sowie dazu aufzufordern, enthaltene Informationen nicht weiterzugeben. Gleichzeitig sollte geprüft werden, welche Daten tatsächlich offengelegt wurden und wer darauf Zugriff erhalten hat.
Auch wenn am Ende keine Meldung an die Datenschutzaufsicht erforderlich ist, sollte der Vorfall intern dokumentiert werden. Art. 33 Abs. 5 DSGVO verlangt eine Dokumentation der Datenschutzverletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen.
Entscheidend ist, welche Folgen die Offenlegung für die betroffene Person haben kann. Zu berücksichtigen sind unter anderem Art und Sensibilität der Daten, der Empfängerkreis, eine mögliche Weiterverwendung und die Frage, ob sich negative Auswirkungen noch wirksam begrenzen lassen. Gerade bei Bewerberdaten, Gehaltsinformationen oder Angaben zu beruflichen Wechselabsichten kann eine sorgfältige Einzelfallprüfung erforderlich sein.
Führt die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, muss der Verantwortliche sie grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde melden. Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich kein entsprechendes Risiko begründet.
Besteht voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person, muss diese grundsätzlich unverzüglich nach Art. 34 DSGVO benachrichtigt werden, sofern keine gesetzliche Ausnahme greift. Unabhängig davon sollte der Vorfall zum Anlass genommen werden, Versandprozesse, technische Schutzmaßnahmen und interne Vorgaben zu überprüfen. Denkbar sind beispielsweise zusätzliche Empfängerkontrollen bei sensiblen Nachrichten oder Schulungen für Beschäftigte, die mit Bewerber- und Personaldaten arbeiten.
Die Entscheidung reicht über den konkreten Xing-Fall hinaus. Für die Einordnung als personenbezogene Daten müssen einzelne Angaben eine Person nicht bereits für sich genommen eindeutig identifizieren. Auch die Verbindung aus Name, beruflichem Kontext und weiteren Informationen kann ausreichen. Der BGH betont zudem, dass Betroffene nicht nachweisen müssen, dass ein Dritter sie tatsächlich identifiziert hat. Entscheidend ist, ob eine Zuordnung anhand der vorhandenen und ergänzenden Informationen möglich ist.
Für Unternehmen betrifft das besonders die Kommunikation in Bewerbungsverfahren. Nachrichten über Karrierepläne, Gehaltsvorstellungen oder interne Bewertungen enthalten regelmäßig Informationen, deren Weitergabe an Außenstehende erhebliche Folgen haben kann. Ein falscher Empfänger bei Xing, per E-Mail oder in einem anderen Messenger kann daher eine unzulässige Offenlegung personenbezogener Daten darstellen.
Der Fall zeigt zugleich, worauf es bei einem späteren Schadensersatzstreit ankommt. Eine lediglich theoretische Gefahr einer Datenverwendung genügt für sich genommen nicht. Lassen sich dagegen konkrete negative Folgen oder eine aufgrund der Umstände begründete Sorge vor einer weiteren Verwendung darlegen, kann daraus ein immaterieller Schaden entstehen.
Damit steigt für Unternehmen die Bedeutung verlässlicher Prozesse beim Versand vertraulicher Personal- und Bewerberdaten. Gerade vor dem Absenden sensibler Nachrichten sollten Empfänger, Inhalt und verwendeter Kommunikationskanal geprüft und Beschäftigte für Fehlversendungen sensibilisiert werden.
SBS LEGAL berät Unternehmen umfassend im Datenschutzrecht und unterstützt insbesondere beim rechtssicheren Umgang mit Datenschutzverletzungen, Bewerberdaten und möglichen Ansprüchen auf DSGVO-Schadensersatz. Auch bei der Prüfung von Meldepflichten nach Art. 33 DSGVO sowie bei der Kommunikation mit Betroffenen und Datenschutzaufsichtsbehörden stehen wir Unternehmen rechtlich zur Seite.
Datenschutzpannen erfordern häufig schnelle und zugleich sorgfältig dokumentierte Entscheidungen. SBS LEGAL prüft, welche datenschutzrechtlichen Pflichten im konkreten Fall bestehen, unterstützt bei der Bewertung möglicher Risiken für betroffene Personen und begleitet Unternehmen bei Meldungen an Aufsichtsbehörden sowie bei der Abwehr oder Durchsetzung datenschutzrechtlicher Ansprüche. Darüber hinaus beraten wir bei der Gestaltung interner Datenschutzprozesse, Datenschutzerklärungen, Auftragsverarbeitungsverträgen, Vereinbarungen gemeinsam Verantwortlicher sowie technisch-organisatorischen und organisatorischen Compliance-Maßnahmen.