Arbeitsrecht / Datenschutzrecht  ·  LArbG Frankfurt, Urteil vom 10.02.2026 – 12 SLa 709/25

Schadensersatz nach DSGVO nach Hackerangriff

I. Anlass des Artikels: Hackerangriff und Klage auf DSGVO-Schadensersatz

Ausgangspunkt ist das Urteil des LArbG Frankfurt vom 10.02.2026 – 12 SLa 709/25, in dem ein ehemaliger Arbeitnehmer nach einem Hackerangriff auf den Konzern seines früheren Arbeitgebers Schadensersatz nach Art. 82 DSGVO geltend gemacht hat. Die Angreifer kopierten große Datenmengen (40 Terabyte), darunter personenbezogene Beschäftigtendaten; im Darknet wurden Dateinamenlisten veröffentlicht, nicht aber die Inhalte selbst.¹ Der Kläger sah hierin einen Kontrollverlust über seine Daten und begehrte immateriellen Schadensersatz sowie Feststellung der Ersatzpflicht für zukünftige materielle Schäden. Das LArbG Frankfurt verneinte sämtliche Ansprüche.²

II. Rechtlicher Rahmen: Art. 82 DSGVO – Dreistufige Anspruchsvoraussetzungen

Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen.³ Nach der aktuellen Rechtsprechung von EuGH, BAG und Instanzgerichten setzt der Anspruch kumulativ voraus:

• ▸einen Verstoß gegen die DSGVO (z.B. gegen Art. 32, 34 DSGVO),
• ▸einen konkreten materiellen oder immateriellen Schaden,
• ▸einen Kausalzusammenhang zwischen Verstoß und Schaden.^{4 5 6}

Der EuGH hat in mehreren Entscheidungen (u.a. C‑300/21 – Österreichische Post, C‑667/21 – Krankenversicherung Nordrhein, C‑200/23 – Agentsia po vpisvaniyata) klargestellt, dass der bloße Verstoß gegen die DSGVO nicht genügt; erforderlich ist ein tatsächlicher, nachweisbarer Schaden, wenn auch ohne Erheblichkeitsschwelle.^{7 8} Das BAG schließt sich dem an und betont die Dreistufigkeit (Verstoß, Schaden, Kausalität).^{9 10 11}

III. Kontrollverlust als immaterieller Schaden – aber nicht automatisch

Der Kontrollverlust über personenbezogene Daten spielt im aktuellen Diskurs eine zentrale Rolle. Der EuGH und ihm folgend BGH und Arbeitsgerichte erkennen an, dass bereits der – selbst kurzzeitige – Verlust der Kontrolle über Daten einen immateriellen Schaden darstellen kann, sofern die betroffene Person nachweist, dass sie tatsächlich einen solchen Schaden erlitten hat.^{12 13} Der BGH hat diese Linie übernommen und den Kontrollverlust ausdrücklich als immateriellen Schaden eingeordnet.¹⁴

Damit ist klargestellt:

• ▸Es gibt keine „Erheblichkeitsschwelle“; auch geringfügige Beeinträchtigungen können ersatzfähig sein.¹⁵
• ▸Gleichwohl genügt nicht der abstrakte Hinweis auf ein „Unmutsgefühl“ oder eine hypothetische Sorge; die betroffene Person muss konkrete negative Folgen schildern (z.B. belastende Angst vor Missbrauch in einer bestimmten Konstellation, spürbare psychische Belastung).^{16 17 18}

Die frühere arbeitsgerichtliche Tendenz, schon die bloße DSGVO-Verletzung als immateriellen Schaden zu behandeln (so etwa LAG Hamm 17 Sa 1185/20, LAG Niedersachsen 16 Sa 761/20)^{19 20} ist durch die EuGH‑Rechtsprechung überholt; maßgeblich ist jetzt der Nachweis eines tatsächlichen immateriellen Schadens.

IV. Entscheidung des LArbG Frankfurt: Kein Verstoß, kein Schaden, keine Kausalität

Das LArbG Frankfurt verneint im konkreten Fall alle drei Anspruchsvoraussetzungen des Art. 82 DSGVO.²¹

• ▸Kein nachgewiesener DSGVO‑Verstoß
  Der Kläger konnte nicht substantiiert darlegen, welche konkreten seiner Daten von dem Hackerangriff betroffen waren, obwohl ihm vom Arbeitgeber eine Liste der gespeicherten und der betroffenen Daten übermittelt worden war.^{22 23} Die Aufsichtsbehörde hatte zudem nach Prüfung keine Mängel der technischen und organisatorischen Maßnahmen festgestellt und keine Abhilfemaßnahmen angeordnet.²⁴ Vor diesem Hintergrund sah das Gericht keinen schuldhaften Verstoß der Beklagten gegen Art. 32 DSGVO oder andere Normen.²⁵
• ▸Kein hinreichend konkretisierter Schaden
  Das Gericht stellt klar, dass eine bloß hypothetische Gefahr des Datenmissbrauchs den Schadenersatz nicht trägt.^{26 27} Die bloße Veröffentlichung einer Liste mit Dateinamen, ohne Zugriff auf die Dokumente selbst, begründe – bei veralteten und begrenzt verwertbaren Daten – keinen objektiv begründeten Kontrollverlust von Gewicht.²⁸ Die Sorge des Klägers vor möglicher künftiger missbräuchlicher Verwendung wird nicht als objektiv begründete immaterielle Beeinträchtigung anerkannt.^{29 30} Ein materieller Schaden war weder eingetreten noch konkret absehbar.
• ▸Keine Kausalität und Unzulässigkeit des Feststellungsantrags
  Mangels Schaden fehlt auch der Kausalzusammenhang zwischen Hackerangriff und behaupteter Beeinträchtigung.³¹ Der Feststellungsantrag zu zukünftigen Schäden ist bereits unzulässig, weil der Kläger keine „denkbare Möglichkeit und gewisse Wahrscheinlichkeit“ eines konkreten Schadenseintritts darlegen konnte.

Die Entscheidung steht damit im Einklang mit der EuGH‑Linie, wonach Verstoß, Schaden und Kausalität kumulativ und substantiiert darzulegen und zu beweisen sind.^{32 33}

V. Einordnung in die aktuelle Rechtsprechung

Die Entscheidung des LArbG Frankfurt reiht sich in eine mittlerweile gefestigte Tendenz ein:

• ▸Der Schadensbegriff in Art. 82 DSGVO ist weit, aber verlangt einen konkreten Nachweis; der bloße DSGVO‑Verstoß, die abstrakte Angst oder ein „Kontrollverlust“ ohne belegte negative Folgen genügen nicht.^{34 35}
• ▸Die Darlegungs- und Beweislast für Verstoß, Schadenseintritt und Kausalität liegt beim Anspruchsteller; der Verantwortliche muss lediglich fehlendes Verschulden exkulpieren (Haftung für vermutetes Verschulden, Art. 82 Abs. 3 DSGVO).^{36 37 38}
• ▸Arbeits- und Zivilgerichte wenden diese Grundsätze zunehmend strikt an und verlangen substantiierte Schilderung konkreter Beeinträchtigungen (z.B. BAG 20.06.2024 – 8 AZR 124/23; LAG Rheinland‑Pfalz 22.08.2024 – 5 SLa 66/24; OLG Frankfurt u.a. zu Scraping‑Fällen).^{39 40 41}

VI. Praxishinweise für Arbeitgeber und Beschäftigte

Für Arbeitgeber:

• ▸Technische und organisatorische Maßnahmen (Art. 32 DSGVO) müssen nachweisbar angemessen sein; ein positives Ergebnis der Aufsichtsbehörde wirkt in der prozessualen Verteidigung deutlich entlastend.⁴²
• ▸Nach einem Datenleck sind sachkundige und sorgfältig dokumentierte Informationsprozesse gegenüber Aufsichtsbehörde und Betroffenen zentral. Eine gute Dokumentation erleichtert die Abwehr von Schadensersatzforderungen.^{43 44}
• ▸Die Entscheidung zeigt, dass Gerichte pauschale, nicht konkretisierte immaterielle Schadensbehauptungen kritisch würdigen; gleichwohl können schlecht dokumentierte oder offensichtlich unzureichende Sicherheitsmaßnahmen rasch zu haftungsträchtigen Verstößen führen.

Für Beschäftigte:

• ▸Wer Schadensersatz nach Art. 82 DSGVO geltend machen möchte, muss – über den Verstoß hinaus – konkret beschreiben und ggf. beweisen, welche immateriellen Nachteile (z.B. intensive Belastung, berechtigter Missbrauchsverdacht) die Datenpanne ausgelöst hat.^{45 46}
• ▸Die bloße Bezugnahme auf ein allgemeines Unsicherheitsgefühl oder abstrakte Missbrauchsrisiken reicht nach der aktuellen Rechtsprechung nicht.^{47 48}

VII. Fazit für den Homepage‑Artikel

Für einen Kanzlei‑Artikel lässt sich zuspitzen:

• ▸Art. 82 DSGVO ist kein „automatischer Schmerzensgeldtatbestand“ für jede Datenpanne.
• ▸Die Gerichte verlangen konkreten, nachvollziehbaren Schadensvortrag und knüpfen den immateriellen Schaden eng an objektiv begründete Kontrollverluste.
• ▸Arbeitgeber können mit tragfähigen Sicherheitskonzepten und transparenter Kommunikation das Haftungsrisiko erheblich begrenzen; Beschäftigte müssen sich darauf einstellen, dass bloße Angst vor Missbrauch ohne konkrete Folgen künftig kaum noch ausreicht, um Schadensersatz zu erzielen.⁴⁹