Schadensersatz bei Datenschutzverletzungen im Bewerbungsverfahren

Bewerbungsunterlagen enthalten regelmäßig besonders persönliche Informationen: berufliche Stationen, Zeugnisse, Gehaltsvorstellungen, Kontaktdaten und mitunter Angaben zu einer Schwerbehinderung oder zu gesundheitlichen Einschränkungen.

Geraten diese Daten an unbefugte Empfänger oder werden sie ohne ausreichende Rechtsgrundlage erhoben, verwendet oder weitergegeben, liegt regelmäßig ein Datenschutzverstoß nahe. Dieser kann Schadensersatzansprüche nach Art. 82 DSGVO auslösen.

Bewerber gelten nach § 26 Abs. 8 Satz 2 BDSG ausdrücklich als Beschäftigte im Sinne des Beschäftigtendatenschutzes. Ihre Daten dürfen insbesondere verarbeitet werden, soweit dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist.

Nicht jeder formale Fehler führt jedoch automatisch zu einem Anspruch auf Schadensersatz. Entscheidend ist, ob der Datenschutzverstoß tatsächlich einen materiellen oder immateriellen Schaden verursacht hat.

Wann besteht ein Anspruch auf Schadensersatz?

Art. 82 DSGVO erfasst materielle Schäden, also unmittelbar finanzielle Nachteile, und immaterielle Schäden. Unter Letztere fallen nicht unmittelbar finanzielle Beeinträchtigungen, etwa ein tatsächlicher Kontrollverlust, eine Bloßstellung oder eine begründete Sorge vor der weiteren Verwendung personenbezogener Daten.

Für einen Schadensersatzanspruch müssen grundsätzlich drei Voraussetzungen zusammen vorliegen:

1. Es liegt ein Verstoß gegen die DSGVO vor.
2. Der betroffenen Person ist ein materieller oder immaterieller Schaden entstanden.
3. Zwischen dem Datenschutzverstoß und dem Schaden besteht ein ursächlicher Zusammenhang.

Der Datenschutzverstoß allein genügt nicht. Für immaterielle Schäden gilt zwar keine bestimmte Erheblichkeits- oder Bagatellschwelle. Die betroffene Person muss aber darlegen, dass tatsächlich eine negative Folge eingetreten ist.

Eine rein abstrakte Befürchtung oder ein nur hypothetisches Missbrauchsrisiko reicht regelmäßig nicht aus.

Anspruchsgegner ist der Verantwortliche oder unter den Voraussetzungen des Art. 82 Abs. 2 DSGVO ein Auftragsverarbeiter. Im Bewerbungsverfahren ist regelmäßig der Arbeitgeber Verantwortlicher. Er kann sich nach Art. 82 Abs. 3 DSGVO entlasten, wenn er nachweist, dass er für den schadensauslösenden Umstand in keinerlei Hinsicht verantwortlich ist.

Was folgt aus der aktuellen BGH-Rechtsprechung?

Der Bundesgerichtshof hat mit Urteil vom 23. Juni 2026 – VI ZR 97/22 die bereits durch den Europäischen Gerichtshof entwickelten Maßstäbe auf die Fehlleitung vertraulicher Informationen in einem Bewerbungsverfahren angewendet und für diese praktisch bedeutsame Konstellation konkretisiert.

Ein immaterieller Schaden setzt danach weder eine dauerhafte Veröffentlichung noch einen bereits eingetretenen wirtschaftlichen oder beruflichen Nachteil voraus. Bereits ein tatsächlicher, auch kurzzeitiger Kontrollverlust kann ersatzfähig sein, sofern die betroffene Person einen daraus entstandenen Schaden nachweist.

Auch die begründete Befürchtung, ein unbefugter Dritter könne die Daten missbräuchlich verwenden, kann einen immateriellen Schaden darstellen. Eine tatsächliche missbräuchliche Verwendung muss nicht erst eingetreten sein. Die Befürchtung und ihre negativen Folgen müssen aber konkret und nachvollziehbar dargelegt werden.

Die besondere praktische Bedeutung der Entscheidung liegt in ihrer Anwendung auf Bewerbungsdaten und beruflich sensible Informationen. Im entschiedenen Fall hatte der unbefugte Empfänger die Nachricht dem Bewerber zugeordnet und ihn darauf angesprochen. Der Kontrollverlust blieb damit nicht rein abstrakt.

Eigenständiger Anspruch auf Unterlassung

Der BGH nahm außerdem zu einem vom Schadensersatz unabhängigen Anspruch auf Unterlassung zukünftiger Datenschutzverstöße Stellung.

Dieser scheiterte im konkreten Fall an der erforderlichen Wiederholungsgefahr. Ein bereits erfolgter Rechtsverstoß begründet zwar regelmäßig die Vermutung, dass sich ein vergleichbarer Verstoß wiederholen könnte. Die Vermutung konnte hier jedoch widerlegt werden, weil das Bewerbungsverfahren bereits abgeschlossen war und daher keine vergleichbare Situation mehr drohte.

Schadensersatz und Unterlassung sind deshalb getrennt zu beurteilen: Ein bereits eingetretener Schaden kann ersatzfähig sein, obwohl keine hinreichende Gefahr eines zukünftigen gleichartigen Verstoßes besteht.

Praxisbeispiele

Die folgenden Beispiele veranschaulichen typische Risikokonstellationen. Soweit kein Gericht, Entscheidungsdatum und Aktenzeichen genannt werden, handelt es sich um illustrative und verallgemeinerte Fallgestaltungen.

Wie hoch kann der Schadensersatz ausfallen?

Für Datenschutzverletzungen im Bewerbungsverfahren gibt es keinen festen Schadensersatzkatalog.

Bei der Bewertung können insbesondere folgende Umstände eine Rolle spielen:

• Art und Sensibilität der Daten,
• Dauer und Umfang des Kontrollverlusts,
• Anzahl und Stellung der Empfänger,
• mögliche Weiterverbreitung,
• Auswirkungen auf Ruf und Karriere,
• konkrete persönliche oder psychische Belastungen,
• Reaktion des Unternehmens auf den Vorfall.

Der Schadensersatz nach Art. 82 DSGVO dient dem Ausgleich des konkret erlittenen Schadens. Er hat keine Straf- oder Abschreckungsfunktion.

Mehrere DSGVO-Verstöße innerhalb eines einheitlichen Verarbeitungsvorgangs führen deshalb nicht automatisch zu einer Vervielfachung des Betrags.

In überschaubaren Einzelfällen bewegen sich zugesprochene Beträge in der Praxis häufig im niedrigen drei- bis unteren vierstelligen Bereich. Die konkrete Höhe hängt jedoch stets von den Umständen des Einzelfalls ab.

Was sollten betroffene Bewerber dokumentieren?

Bewerber sollten festhalten:

• welche Daten betroffen waren,
• wer die Daten erhalten oder eingesehen hat,
• wie der Vorfall bekannt wurde,
• ob die Informationen weitergeleitet oder verwendet wurden,
• welche persönlichen oder beruflichen Folgen eingetreten sind,
• wie das Unternehmen auf den Vorfall reagiert hat.

E-Mails, Nachrichten, Screenshots und Auskunftsschreiben sollten aufbewahrt werden.

Je genauer sich Kontrollverlust und negative Folgen darstellen lassen, desto verlässlicher kann ein möglicher Anspruch bewertet werden. Allgemeine Befürchtungen sollten deshalb möglichst durch konkrete Umstände ergänzt werden.

Wurde eine Bewerbung beispielsweise an mehrere Konzerngesellschaften weitergegeben, kann insbesondere dokumentiert werden:

• welche Gesellschaften die Unterlagen erhalten haben,
• ob dort eigenständige Bewerberakten angelegt wurden,
• ob weitere Ansprechpartner den Bewerber kontaktiert haben,
• ob und wann die Daten gelöscht wurden,
• ob sensible Informationen in mehreren Unternehmen verfügbar waren.

Was sollten Unternehmen nach einer Datenschutzverletzung tun?

Die folgenden Schritte geben einen ersten Überblick. Welche Maßnahmen erforderlich sind, hängt insbesondere von Art und Umfang der Datenschutzverletzung, den betroffenen Daten und dem Risiko für die betroffenen Personen ab.

Unternehmen sollten insbesondere:

1. den Vorfall intern eskalieren und den Datenschutzbeauftragten einbeziehen,
2. den Datenabfluss begrenzen und nicht erforderliche Zugriffe sperren,
3. unbefugte Empfänger zur Löschung der Daten auffordern,
4. Art, Ursache, Umfang und mögliche Folgen untersuchen,
5. den Vorfall und die ergriffenen Maßnahmen nach Art. 33 Abs. 5 DSGVO dokumentieren,
6. Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO prüfen,
7. die Ursache beheben und technische sowie organisatorische Maßnahmen anpassen.

Die Aufsichtsbehörde ist grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden zu informieren, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

Besteht voraussichtlich ein hohes Risiko, müssen grundsätzlich auch die betroffenen Personen unverzüglich benachrichtigt werden. Die Ausnahmen des Art. 34 Abs. 3 DSGVO sind zu beachten.

Eine schnelle Reaktion kann einen bereits eingetretenen Schaden nicht mehr rückgängig machen. Sie kann aber eine weitere Verbreitung verhindern und zusätzliche Folgen begrenzen.

Wie lassen sich Risiken reduzieren?

Allgemeine Schutzmaßnahmen im Recruiting

Unternehmen sollten Datenschutz im Recruiting nicht allein als Aufgabe der Personalabteilung verstehen.

Wichtig sind insbesondere:

• klar definierte Rollen und Zugriffsberechtigungen,
• datenschutzfreundliche Bewerbermanagementsysteme,
• Schulungen für Recruiter und Führungskräfte,
• Regeln für Internet- und Social-Media-Recherchen,
• transparente Datenschutzhinweise,
• ein Lösch- und Aufbewahrungskonzept,
• gesonderte Schutz- und Berechtigungskonzepte für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO,
• besondere Regeln für Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO,
• ein etablierter Reaktionsprozess für Datenschutzverletzungen,
• dokumentierte Verfahren für Weitergaben innerhalb einer Unternehmensgruppe.

Besonderheiten bei konzernweiten Recruiting-Prozessen

Bei konzernweiten Recruiting-Prozessen sollte insbesondere festgelegt werden:

• welche Gesellschaft für welchen Verarbeitungsschritt verantwortlich ist,
• ob Bewerbungen nur für eine konkrete Stelle oder auch für weitere Stellen berücksichtigt werden,
• welche Rechtsgrundlage für eine Weitergabe besteht,
• wie eine erforderliche Einwilligung eingeholt und dokumentiert wird,
• wie Widerrufe umgesetzt werden,
• wann die Daten bei allen beteiligten Gesellschaften gelöscht werden.

Technische und organisatorische Maßnahmen müssen zur tatsächlichen Arbeitsweise passen. Eine Richtlinie allein genügt nicht, wenn Bewerbungsunterlagen über offene Teamlaufwerke, private E-Mail-Konten, umfangreiche Verteiler oder unkontrollierte Messenger-Dienste ausgetauscht werden.

Fazit

Ein Datenschutzverstoß im Bewerbungsverfahren führt nicht automatisch zu einem Anspruch auf Schadensersatz. Entscheidend ist, ob neben dem DSGVO-Verstoß ein materieller oder immaterieller Schaden entstanden ist und dieser auf den Verstoß zurückzuführen ist.

Gerade bei Bewerbungsunterlagen können Datenschutzverletzungen jedoch besonders relevant sein. Die Unterlagen enthalten regelmäßig persönliche und teilweise sensible Informationen. Fehlgeleitete Nachrichten, unzulässige Weitergaben oder zu weit gefasste Zugriffsrechte können deshalb zu einem tatsächlichen Kontrollverlust über personenbezogene Daten führen.

Für Unternehmen kommt es darauf an, Datenschutz nicht nur formal, sondern auch organisatorisch in den Recruiting-Prozess zu integrieren. Klare Zugriffsrechte, geregelte Weitergabeprozesse und ein funktionierender Umgang mit Datenschutzverletzungen reduzieren sowohl Risiken für Bewerber als auch mögliche Haftungsfolgen für das Unternehmen.

Hinweis: Der Beitrag bietet eine allgemeine Orientierung. Die konkrete rechtliche Einordnung hängt von den Umständen des Einzelfalls ab.