Veröffentlicht am 08.08.2026
Eine einzige falsch adressierte Nachricht kann für ein Unternehmen teuer werden – das hat der Bundesgerichtshof (BGH) mit seinem Urteil vom 23. Juni 2026 (Az. VI ZR 97/22) unmissverständlich klargestellt. Eine Privatbank hatte über das Karrierenetzwerk Xing eine Nachricht mit Bewerbungsdetails und einem konkreten Gehaltsangebot an den falschen Empfänger geschickt. Dieser Empfänger war ausgerechnet ein früherer Branchenkollege des Bewerbers. Das Ergebnis: Der Bewerber hat dem Grunde nach Anspruch auf immateriellen Schadensersatz nach Art. 82 der Datenschutz-Grundverordnung (DSGVO). Wie hoch dieser ausfällt, muss nun das Oberlandesgericht (OLG) Frankfurt am Main festlegen.
Für kleine und mittlere Unternehmen (KMU), die Bewerbungen digital verwalten, ist dieses Urteil ein Weckruf. Denn es zeigt: Nicht nur der Hackerangriff von außen ist ein Datenschutzrisiko, sondern auch der ganz alltägliche Flüchtigkeitsfehler eines Mitarbeiters. In diesem Artikel erklären wir, was genau passiert ist, warum das Urteil so bedeutsam ist und was Sie jetzt konkret in Ihrem Bewerbermanagement (HR-Prozessen) ändern sollten.
Am 23. Oktober 2018 versandte eine Mitarbeiterin einer Privatbank über die Messenger-Funktion der Plattform Xing eine Nachricht. Ihr Ziel war ein Bewerber, dem sie Details zum laufenden Bewerbungsverfahren übermitteln wollte. Doch die Nachricht landete beim falschen Empfänger – mutmaßlich durch eine Verwechslung bei der Autovervollständigung des Namens.
Der Inhalt dieser fehlgeleiteten Nachricht war brisant. Sie enthielt folgende personenbezogene Daten:
Besonders unangenehm: Der falsche Empfänger war ein früherer Kollege des Bewerbers aus derselben Branche. Er nahm die Nachricht zum Anlass, sich direkt mit einer Rückfrage an den Bewerber zu wenden. Damit erfuhr eine unbeteiligte Person aus dem beruflichen Umfeld des Bewerbers, dass dieser sich anderweitig bewarb – inklusive seiner Gehaltsvorstellungen.
Wichtig zu verstehen: Hier wurde nichts gehackt, keine Software-Schwachstelle ausgenutzt und keine Datenbank geknackt. Es handelte sich um eine Datenpanne rein organisatorischer Natur – im Fachjargon spricht man von „Human Error", also menschlichem Versagen.
Genau das macht den Fall für so viele Unternehmen relevant. Die Autovervollständigung von Namen in Messenger-Diensten oder E-Mail-Programmen ist eine Funktion, die jeder täglich nutzt – und die genau deshalb eine ständige Fehlerquelle darstellt. Ein Klick auf den falschen Kontakt, und sensible Daten sind unterwegs zur falschen Person.
Der Fall hat einen langen Weg durch die Instanzen genommen. Das Landgericht Darmstadt sprach dem Bewerber am 26. Mai 2020 zunächst 1.000 Euro Schadensersatz und einen Unterlassungsanspruch zu. Das OLG Frankfurt hob den Schadensersatz am 2. März 2022 jedoch wieder auf – mit der Begründung, es fehle ein nachgewiesener konkreter Schaden. Der BGH legte die Sache daraufhin dem Europäischen Gerichtshof (EuGH) vor, um zentrale Auslegungsfragen zu klären.
Der EuGH entschied am 4. September 2025 in der Rechtssache C-655/23 eine entscheidende Frage: Ein Anspruch nach Art. 82 DSGVO weist keine Erheblichkeitsschwelle auf. Anders gesagt: Es gibt keine „Bagatellgrenze", unterhalb derer ein Schaden nicht zählt.
„Ein Anspruch nach Art. 82 DSGVO weist keine Erheblichkeitsschwelle auf; auch negative Gefühle wie Sorge oder Ärger können einen immateriellen Schaden darstellen." – Europäischer Gerichtshof (EuGH)
Auf dieser Grundlage urteilte der BGH am 23. Juni 2026. Das Gericht sah den immateriellen Schaden bereits im Kontrollverlust über die Daten sowie in der begründeten Furcht vor deren Missbrauch. Konkret machte der BGH deutlich, ab wann spätestens ein Schaden vorliegt:
„Von einem immateriellen Schaden sei spätestens ab dem Zeitpunkt auszugehen, zu dem der Dritte [...] diese zur Kenntnis und zum Anlass nahm, sich mit einer Rückfrage an den Kläger [...] zu wenden." – Bundesgerichtshof (BGH)
Zwei Punkte sind für Unternehmen besonders wichtig:
Einen Unterlassungsanspruch lehnte der BGH übrigens ab. Der Grund: Nach Abschluss des Bewerbungsverfahrens bestand keine Wiederholungsgefahr mehr.
Die kurze Antwort: praktisch jedes Unternehmen mit HR-Prozessen und Bewerbermanagement. Egal ob Sie zwei oder zweihundert Mitarbeiter beschäftigen – sobald Sie Bewerbungen entgegennehmen und darüber digital kommunizieren, sind Sie in der Verantwortung.
Besonders im Risiko stehen Unternehmen, die für die Bewerberkommunikation persönliche Profile in Netzwerken wie Xing oder LinkedIn nutzen, statt dedizierter Unternehmensaccounts mit geregelten Zugriffsrechten. Auch der schnelle E-Mail-Versand von Zu- und Absagen ohne Kontrolle ist ein klassisches Einfallstor für solche Fehler.
Gehen Sie die folgenden drei Schritte durch, um Ihr eigenes Risiko einzuschätzen:
Da es sich um einen organisatorischen Fehler und keine Software-Schwachstelle handelt, gibt es hier kein Update und keinen Patch zum Einspielen. Die Lösung liegt allein in Ihren Prozessen und der Schulung Ihrer Mitarbeiter. Wir empfehlen folgende konkrete Maßnahmen:
Das Urteil konkretisiert Art. 82 Abs. 1 DSGVO, der den Anspruch auf immateriellen Schadensersatz regelt. Die zentrale Botschaft für Unternehmen: Der bloße Kontrollverlust über Daten und die begründete Furcht vor Missbrauch reichen aus, ohne dass eine Erheblichkeitsschwelle überschritten werden muss. Damit senkt die Rechtsprechung die Hürde für Betroffene, Ansprüche geltend zu machen.
Rechtsanwalt Dr. Marc Maisch ordnet die Tragweite so ein:
„Das BGH-Urteil zeigt aus seiner Sicht, wie ernst Gerichte mittlerweile auch kleine Datenpannen im Bewerbungsprozess nehmen. Unternehmen sollten ihre HR-Prozesse jetzt überprüfen." – Dr. Marc Maisch, Rechtsanwalt
Auch Rechtsanwalt Guido Aßhoff macht deutlich, dass die finanziellen Folgen real sind:
„Schon eine einzige fehlgeleitete Nachricht kann einen immateriellen Schadensersatzanspruch nach Art. 82 DSGVO auslösen — und eine Schadenshöhe von mindestens 1.000 bis 2.500 Euro ist realistisch." – Guido Aßhoff, Rechtsanwalt
Dass Datenpannen kein Randphänomen sind, belegen die aktuellen Statistiken:
Für sich genommen erscheinen diese Beträge überschaubar. Doch das Risiko liegt in der Multiplikation: Wer einen systematischen Prozessfehler hat, kann nicht nur einen, sondern viele Betroffene schädigen. Hinzu kommen mögliche Reputationsschäden und Bußgelder durch die Aufsichtsbehörden. Aus einem vermeintlichen Bagatellfall kann so schnell eine erhebliche Belastung werden.
Der Fall der fehlgeleiteten Xing-Nachricht zeigt, wie ein Moment der Unaufmerksamkeit zu einem jahrelangen Rechtsstreit und einem Schadensersatzanspruch führen kann. Das BGH-Urteil vom 23. Juni 2026 stärkt die Rechte von Betroffenen deutlich: Der Kontrollverlust über persönliche Daten und die begründete Sorge vor deren Missbrauch genügen für einen Anspruch – eine Bagatellgrenze gibt es nicht.
Für kleine und mittlere Unternehmen bedeutet das: Datenschutz im Bewerbungsprozess ist kein „Nice-to-have", sondern eine handfeste rechtliche Pflicht mit finanziellen Konsequenzen. Die gute Nachricht ist, dass die wirksamsten Schutzmaßnahmen weder teuer noch kompliziert sind. Ein Vier-Augen-Prinzip beim Versand sensibler Nachrichten, geschulte Mitarbeiter, dedizierte Unternehmensaccounts und ein klarer Ablauf für den Ernstfall reichen weit. Wer jetzt seine HR-Prozesse überprüft, schützt nicht nur die Daten seiner Bewerber – sondern auch das eigene Unternehmen vor teuren Überraschungen.