Datenschutz-Panne bei Bewerbung: EuGH setzt den Maßstab neu

Ein Bewerber hatte sich über die Plattform Xing bei einer Bank beworben. Eine Mitarbeiterin wollte ihm mitteilen, dass seine Gehaltsvorstellungen zu hoch seien, und verschickte diese vertrauliche Nachricht versehentlich an einen Dritten. Besonders heikel: Der Empfänger kannte den Bewerber persönlich und sprach ihn sogar darauf an.

Für den Bewerber war das eine peinliche und belastende Situation. Er befürchtete Nachteile bei künftigen Bewerbungen und empfand die versehentliche Offenlegung als beschämend. Deshalb verlangte er Schadensersatz nach der DSGVO und bekam nun vom Europäischen Gerichtshof (EuGH) Zuspruch.

Auch emotionale Folgen sind ein „Schaden“

Der EuGH stellt klar: Ein Datenschutzverstoß muss nicht zwingend finanzielle Folgen haben, um eine Entschädigung zu rechtfertigen. Auch immaterielle Schäden wie Ärger, Scham oder Sorge können ausreichen. Es reicht, dass persönliche Daten ungewollt in falsche Hände geraten und die betroffene Person darunter leidet. Ein tatsächlicher Missbrauch der Daten muss nicht bewiesen werden, die Sorge davor genügt in einigen Fällen.

Damit erweitert der EuGH erneut den Schutzrahmen der DSGVO. Wer also denkt, Datenschutz sei nur bei Hackerangriffen ein Thema, irrt. Auch alltägliche Fehler wie die falsche Nachricht an die falsche Person können rechtliche Folgen haben.

Dies könnte zu einem erhöhten Aufkommen von Schadensersatzklagen führen, da es keinen vorrangigen Anspruch wie z.B. Unterlassungsansprüche gibt. Ob und wie die europäische Gesetzgebung darauf reagieren wird, ist noch offen.

Unternehmen haften – auch für kleine Fehler

Wichtig: Nicht nur große Datenlecks zählen. Auch kleine, fahrlässige Fehler wie dieser sind relevant. Unternehmen haften dabei auch für das Verhalten ihrer Mitarbeitenden. Deshalb müssen sie Datenschutz in allen Bereichen ernst nehmen, nicht nur aus Compliance-Gründen, sondern auch im Interesse der Reputation und des Vertrauens der Bewerber und der Kundschaft.

Die Rechtsprechung zeigt: Datenschutz ist kein „Kann“, sondern ein „Muss“. Wer mit personenbezogenen Daten arbeitet, trägt Verantwortung und das zu jeder Zeit.

Veröffentlicht am 25. September 2025