Gehen Bewerberdaten versehentlich an Dritte, ist das ein Verstoß gegen die DSGVO

Der Kläger befand sich im Oktober 2018 in einem Bewerbungsverfahrenfür eine Anstellung als Wertpapierhändler bei der Quirin Privatbank in Berlin. Der gesamte Austausch und die Verhandlungen liefen digital über den Messenger-Dienst von Xing.

Als eine Bankmitarbeiterin dem Mann ein konkretes Angebot der Geschäftsleitung zukommen lassen wollte, unterlief ihr jedoch ein folgenschwerer Fehler: Sie schickte die Nachricht versehentlich gleichzeitig an eine dritte Person, die überhaupt nichts mit dem Bewerbungsverfahren zu tun hatte, aber mit dem Kläger vor einiger Zeit in derselben Holding gearbeitet hatte und ihn deshalb kannte, Sie leitete ihm die Nachricht direkt weiter und fragte nach der heimlichen Jobsuche.

„Lieber Herr K[Nachname des Klägers], ich hoffe es geht Ihnen gut! Unser Leiter - Herr R[…] - findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören und wünsche Ihnen einen guten Start in den Dienstag. Viele Grüße, I[…] J[…]“

Die Nachricht der Mitarbeiterin im Wortlaut

Nachdem er von der Bank eine Absage auf seine Bewerbung erhalten hatte, forderte der Kläger wegen der Verletzung des Persönlichkeitsrechts Schadensersatz, zudem Auskunft über die Datenverarbeitung sowie Erstattung der Rechtsverfolgungskosten und eine Unterlassungserklärung, da er brancheninternes Gerede und berufliche Nachteile fürchtete. Zudem empfinde er das „Unterliegen“ in den Gehaltsverhandlungen als Schmach, die er nicht an Dritte – vor allem nicht an potenzielle Konkurrenten – weitergegeben hätte. Da die Bank nicht zahlte, kam es zum Rechtsstreit bis zum BGH.

Die Privatbank versuchte eine Haftung und Schadensersatzzahlung abzuwenden: Sie argumentierte, dass die Nachricht gar keine geschützten personenbezogenen Daten enthielt. Da auf der Plattform Xing viele Menschen diesen Nachnamen tragen, sei der Kläger für den unbeteiligten Dritten allein durch die Nachricht überhaupt nicht eindeutig identifizierbar gewesen.

Die Bank vertrat zudem die Ansicht, dass dem Kläger durch das Versehen kein realer Schaden entstanden sei. Ein bloßer, kurzzeitiger „Kontrollverlust“ über Daten ohne finanzielle Einbußen sei kein ersatzfähiger Schaden. Sie verbuchte den Vorfall als einmaliges, unbeabsichtigtes Versehen einer Mitarbeiterin. Da es sich um eine Sondersituation handelte und der Bewerbungsprozess ohnehin beendet worden war, sah die Bank keine Rechtsgrundlage für weitergehende Forderungen. Sie hatte überdies bereits eine strafbewehrte Unterlassungserklärung abgegeben, die sich exakt auf den Wortlaut dieser einen Nachricht bezog. Damit sah sie die Sache als rechtlich erledigt an.

Die Karlsruher Richter sahen sich jedoch außerstande, ohne Auslegungshilfe seitens des Europäischen Gerichtshofs (EuGH) die Sache zu entscheiden. Sie legten dem EuGH daher diese Fragen vor: Hat der eigentliche Adressat beieinem soclen Vorfall überhaupt Anspruch auf Schadensersatz? Kann er Unterlassung fordern? Wenn ja, nach welchem Gesetz und unter welchen Voraussetzungen?

Im September 2025 entschieden die Luxemburger Richter, dass laut Art. 82 DSGVO immaterielle Schäden auch negative Gefühle umfassen und das Verschulden die Schadenshöhe nicht beeinflusst. Sorgen, Ärger und ein gefühlter Kontrollverlust reichen als immaterieller Schaden nach Art. 82 DSGVO aus. Die Beweislast liege beim Betroffenen.

Der BGH folgte den Vorgaben des EuGH und wies die Argumente der Bank zurück. Er entschied, dass der Kläger durch die Branchennähe des Dritten sehr wohl identifizierbar und seine Sorge vor beruflichen Nachteilen absolut begründet war. Der BGH stellte klar: Ein immaterieller Schadensersatz steht dem Kläger gemäß Art. 82 Abs. 1 DSGVO dem Grunde nach zu.

Das Urteil der Vorinstanz, das der Bank noch ein allgemeines Verarbeitungsverbot auferlegt hatte, hob der BGH auf. Der BGH gewährte aber keine präventive Unterlassung, da der Bewerbungsprozess vorbei ist und somit keine Wiederholungsgefahr mehr besteht. Das OLG Frankfurt am Main muss nun in einer neuen Verhandlung prüfen, wie viel Schmerzensgeld dem Kläger für die erlittene Sorge und den Kontrollverlust zusteht.