Privacy Litigation – DSGVO-Klagen & Bußgeldverfahren

Datenschutzprozesse, Behördenverfahren und Schadensersatz nach der Datenschutz-Grundverordnung (DSGVO)

Schneller Einstieg: Worum geht es bei Ihnen?

Ihr Ansprechpartner: Jean Paul P. Bohne, LL.M., MM

Partner, Fachanwalt für IT-Recht und Fachanwalt für Urheber- und Medienrecht. Gemeinsam mit Dominik Skornia und Andreas Buchholz.

Privacy-Litigation-Anfrage senden

Typische Mandatslagen ganz am Anfang

Diese Konstellationen markieren oft den Übergang von präventiver Datenschutzarbeit zur streitigen Datenschutzpraxis.

Für Prävention und Setup

Geht es noch um vorsorgliche Strukturierung und noch nicht um Streit oder Verfahren, sind bei ITMR insbesondere das Datenschutzrecht, das Datenschutz-Audit, die Datenschutz-Folgenabschätzung und der Vertrag zur Auftragsverarbeitung die näherliegenden Einstiegspunkte.

Typische Fälle aus unserer Beratung in Privacy Litigation

Die folgenden Konstellationen sind abstrahiert und vereinfacht. Wie ein Fall ausgeht, hängt immer von Sachverhalt, Dokumentation und bereits abgegebener Kommunikation ab.

Was Sie am Ende in der Hand haben

Wenn Datenschutz zum Verfahren wird

Privacy Litigation beginnt regelmäßig dort, wo ein Datenschutzthema gegenüber Anspruchstellern, Behörden oder Gerichten verteidigt oder durchgesetzt werden muss. Interne Organisation reicht dann nicht mehr.

In der Praxis sind datenschutzrechtliche Streitlagen selten isoliert. Häufig stehen am Anfang ein Sicherheitsvorfall, eine eskalierte Betroffenenanfrage, interne Unstimmigkeiten über Rollen und Verantwortlichkeiten, eine Presseanfrage, ein Hinweis aus dem Markt oder eine Beschwerde bei der Behörde.

Kippt der Fall dann in ein Anspruchsschreiben, eine Anhörung, ein Bußgeldverfahren oder in gerichtlichen Rechtsschutz, verschiebt sich der Schwerpunkt von der Prävention zur Verfahrenssteuerung.

Für Unternehmen ist das besonders heikel, weil Datenschutzkonflikte fast immer mehrere Ebenen gleichzeitig betreffen: Rechtsabteilung, Geschäftsführung, Informationssicherheit, Kommunikation, Personal, Produkt und externe Dienstleister. Genau dort entscheidet sich, ob ein Fall eingegrenzt wird oder sich zu einer kostenintensiven, reputationssensiblen Auseinandersetzung entwickelt.

Entscheidend in der ersten Phase

Sinnvoll ist das sauberste Lagebild, nicht die schnellste Stellungnahme. Dazu gehören folgende Fragen:

• Welche Verarbeitung ist betroffen und welche Datenkategorien stehen im Raum?
• Welche Gesellschaft handelt und welche Dokumentation existiert?
• Welche Angaben wurden bereits gemacht?
• Laufen neben zivilrechtlichen Ansprüchen auch Behörden-, Arbeits-, Vertrags- oder Reputationsfragen mit?

Welche Verfahren und Konfliktlagen unter Privacy Litigation fallen

Der Begriff bezeichnet keine einzelne Anspruchsgrundlage. Gemeint ist die streitige Praxis an der Schnittstelle von Datenschutzrecht, Prozessführung, Behördenkontakt, Beweisarbeit und wirtschaftlicher Risikosteuerung.

Gerichtsstand: Klagen betroffener Personen gegen Verantwortliche oder Auftragsverarbeiter können nach § 44 BDSG am Ort einer Niederlassung erhoben werden. Sie sind auch am gewöhnlichen Aufenthaltsort der betroffenen Person möglich.

Wichtige Abgrenzung

Die präventive Ausgestaltung von Datenschutzstrukturen bleibt ein eigenständiger Beratungsbereich. Für Governance, Aufbau und Nachschärfung sind bei ITMR insbesondere das Datenschutzrecht, das Datenschutz-Set-up, das Datenschutz-Audit, die Datenschutz-Folgenabschätzung und der Vertrag zur Auftragsverarbeitung die näherliegenden Seiten.

Typischer Fehler im Unternehmen

Datenschutzstreitigkeiten werden oft zu spät als Verfahrensfall erkannt. Wer ein behördliches Schreiben, ein Auskunftsersuchen mit Eskalationspotenzial oder eine Welle gleichgerichteter Forderungen nur als Standard-Compliance-Thema behandelt, produziert häufig unnötige Widersprüche, Beweislücken und Kommunikationsschäden.

Was in den ersten 72 Stunden zählt

In akuten Datenschutzstreitlagen werden die entscheidenden Fehler häufig sehr früh gemacht. Die ersten 72 Stunden prägen deshalb oft den gesamten weiteren Verfahrensverlauf. Nach einer Datenpanne gilt zudem die Meldefrist von möglichst 72 Stunden nach Art. 33 DSGVO.

Worauf es sofort ankommt

• Fristen: Anspruchsschreiben, Behördenanhörungen, gerichtliche Zustellungen und interne Eskalationsfenster müssen sofort priorisiert werden.
• Beweissicherung: Protokolle, Tickets, Freigaben, technische Reports und Kommunikationsstände dürfen nicht verloren gehen oder unsauber überschrieben werden.
• Dokumentation: Rollen, Entscheidungen, Sachverhaltsstand und bereits abgegebene Erklärungen müssen belastbar zusammengeführt werden.
• Kommunikationslinie: Aussagen gegenüber Behörde, Betroffenen, Dienstleistern, Presse und intern dürfen sich nicht widersprechen.
• Interne Eskalation: Geschäftsführung, Rechtsfunktion, Informationssicherheit, Produkt, Personal und externe Berater müssen sauber koordiniert werden.

Was häufig schadet

Problematisch sind vorschnelle Entschuldigungen, nachträglich geglättete Dokumentation, ungeprüfte Schuldzuweisungen an Dienstleister, isolierte Technikantworten ohne rechtliche Einordnung und Parallelkommunikation mehrerer Stellen ohne gemeinsame Linie. Gerade in Datenpannen- und Behördenfällen wird der spätere Verteidigungsspielraum dadurch oft unnötig geschwächt.

Schadensersatz nach Artikel 82 Datenschutz-Grundverordnung: kein Automatismus, aber ernstes Haftungsrisiko

Ansprüche nach Art. 82 DSGVO sind in der Privacy Litigation regelmäßig der zentrale Hebel. Nach Datenpannen, Fehlversand, Auskunftskonflikten oder unzulässiger Offenlegung können sie schnell in Serienforderungen umschlagen.

Wer mit Schadensersatzforderungen konfrontiert ist, sollte weder reflexhaft abwehren noch vorschnell nachgeben. Der Gerichtshof der Europäischen Union hat in EuGH, C-300/21, Österreichische Post klargestellt, dass ein bloßer Verstoß gegen die Datenschutz-Grundverordnung für sich genommen nicht ausreicht.

Erforderlich sind ein Verstoß, ein materieller oder immaterieller Schaden und ein Kausalzusammenhang. Gleichzeitig gibt es keinen starren Bagatellvorbehalt, auf den Unternehmen sich verlassen könnten. Weitere Orientierung gibt EuGH, C-340/21, Natsionalna agentsia za prihodite.

In der Praxis geht es deshalb um sehr konkrete Fragen: Welcher Schaden wird überhaupt behauptet? Worin soll der Kontrollverlust liegen? Wie belastbar ist die Kausalität? Welche technischen und organisatorischen Maßnahmen bestanden tatsächlich, was wurde dokumentiert und welche Kommunikation ist nach außen bereits erfolgt?

Genau an diesen Punkten entscheidet sich häufig, ob aus einem Einzelfall eine teure Serienlage wird.

Hilfreiche offizielle Quellen

• Datenschutz-Grundverordnung auf EUR-Lex
• Gerichtshof der Europäischen Union, C-300/21, Österreichische Post
• Gerichtshof der Europäischen Union, C-340/21, Natsionalna agentsia za prihodite

Verteidigungsfehler, die oft vermeidbar sind

• Verwechslung zwischen bloßem Rechtsverstoß und nachweisbarem Schaden
• Uneinheitliche Angaben gegenüber Anspruchstellern, Behörde und Gericht
• Zu spätes Sichern von Protokollen, Tickets, Freigaben und technischen Reports
• Vergleichsentscheidungen ohne Blick auf Multiplikations- und Nachahmungsrisiken

Vertiefend relevant sind bei ITMR insbesondere DSGVO-Schadensersatz, der Beitrag zur Rechtsprechungsübersicht zu Artikel 82 Datenschutz-Grundverordnung, die Einordnung zu fehlgeleiteten Gehaltsdaten und der Beitrag zu Art und Umfang des Schadensersatzes.

Auskunftsersuchen nach Artikel 15 Datenschutz-Grundverordnung als Auslöser späterer Verfahren

Viele Datenschutzverfahren beginnen mit einem Auskunftsersuchen und noch nicht mit einer Klage. Problematisch wird es, wenn das Ersuchen falsch priorisiert, unvollständig beantwortet oder strategisch unterschätzt wurde.

Gerade in konfliktgeladenen Situationen wird das Auskunftsrecht nach Art. 15 DSGVO häufig auch als Druckmittel genutzt. Es dient dann zur Vorbereitung eines Schadensersatzanspruchs, als Instrument für arbeitsrechtliche Auseinandersetzungen oder als Hebel in laufenden Vertrags- und Wettbewerbsstreitigkeiten. Das macht die Bearbeitung nicht unzulässig, aber deutlich riskanter.

Für Unternehmen ist entscheidend, ob Fristen, Identitätsprüfung, Datenquellen, Drittbezüge und Beschränkungsgründe beherrscht werden. Wer unstrukturiert antwortet, Inhalte zu weit herausgibt oder ersichtlich lückenhaft bleibt, verschlechtert regelmäßig die spätere Position gegenüber Anspruchstellern und Datenschutzaufsichtsbehörden.

Deshalb sollte die Bearbeitung eng mit Dokumentation und Verfahrensstrategie verzahnt sein.

Was früh geprüft werden sollte

• welche Gesellschaft oder Organisation verantwortlich ist
• welche Datenbestände, Systeme und Dienstleister betroffen sind
• ob Rechte Dritter, Geschäftsgeheimnisse oder andere Beschränkungen berührt sind
• ob die Anfrage isoliert bleibt oder bereits erkennbar in ein Folgeverfahren zielt

ITMR-Vertiefungen

• Datenschutz-Auskunft
• Kann ein Auskunftsanspruch missbräuchlich sein?
• Geschäftsgeheimnisschutz
• NDA / Vertraulichkeit

Datenschutzaufsichtsbehörde, Anordnungen und Bußgeldverfahren

Behördliche Datenschutzverfahren verlangen eine andere Taktung als die laufende Compliance-Arbeit. Antworten, Nachreichungen und Einlassungen prägen den weiteren Verlauf oft früh vor.

Schreiben einer Datenschutzaufsichtsbehörde betreffen häufig mehr als reine Auskunftspflichten. Es kann um Kooperation, Stellungnahmen, Akteneinsicht, Prüfungsmaßnahmen, Löschungsanordnungen, Untersagungen, Fragen zu Sicherheitsmaßnahmen oder um die Vorbereitung einer Geldbuße nach Art. 83 DSGVO gehen.

Für Unternehmen ist entscheidend, dass Antworten konsistent, dokumentierbar und verfahrensstrategisch durchdacht sind. Für das Bußgeldverfahren gelten nach § 41 BDSG die Vorschriften des Gesetzes über Ordnungswidrigkeiten sinngemäß, soweit das BDSG nichts anderes bestimmt.

Das gilt besonders, wenn neben dem Behördenkontakt zugleich zivilrechtliche Ansprüche, Presseanfragen, Beschäftigtenkonflikte oder Probleme mit Dienstleistern im Raum stehen. Dann reicht eine isolierte datenschutzrechtliche Betrachtung nicht aus. Es braucht eine Linie, die Dokumentation, Organisationsstruktur, Technik, Zuständigkeiten und Außenkommunikation sauber zusammenführt.

Amtliche Orientierung für Verfahren

• Europäischer Datenschutzausschuss: Leitlinien 04/2022 zur Berechnung von Geldbußen
• Bundesdatenschutzgesetz auf gesetze-im-internet.de
• Hilfe bei Verfahren mit der Aufsichtsbehörde
• Rechtsprechungsübersicht zu Bußgeldern

Besonders riskant

• vorschnelle Einlassungen ohne vollständigen Sachverhaltsabgleich
• korrigierte oder nachträglich „glattgezogene“ Dokumentation
• widersprüchliche Angaben zwischen Technik, Management und Rechtsfunktion
• unterschätzte Folgewirkungen für spätere Zivilverfahren

Datenpannen, Serienforderungen und Beweise: woran Datenschutzverfahren praktisch hängen

Bei Datenpannen und anderen Streitlagen entscheidet Privacy Litigation oft an der Qualität der technischen und organisatorischen Aufarbeitung. Die abstrakte Rechtsfrage tritt dann in den Hintergrund.

Nach einer Verletzung des Schutzes personenbezogener Daten laufen regelmäßig mehrere Pfade gleichzeitig: interne Ermittlung, Sicherung von Spuren, Risikobewertung, Kommunikation mit Dienstleistern, Meldung an die Behörde nach Art. 33 DSGVO, mögliche Benachrichtigung von Betroffenen nach Art. 34 DSGVO und die Vorbereitung auf spätere Ansprüche.

Wer diesen Ablauf nicht strukturiert dokumentiert, verschlechtert seine Position in fast jedem Folgekonflikt.

Bei serienhaften Forderungen kommt hinzu, dass eine Antwort selten nur ein Einzelfall bleibt. Aussagen zu Ursache, Reichweite, Schutzmaßnahmen oder Verantwortlichkeit wirken häufig auf weitere Forderungen, Beschwerden und mögliche Verfahren zurück.

Deshalb braucht es schon in der frühen Phase ein Zusammenspiel aus Soforthilfe bei Datenpannen, Cybersecurity, Compliance und prozessualer Steuerung.

Offizielle Orientierung für Vorfallslagen

• Europäischer Datenschutzausschuss: Leitlinien 9/2022 zu Meldungen von Verletzungen des Schutzes personenbezogener Daten
• Hilfe bei Datenpannen
• Cybersecurity-Recht & IT-Sicherheit

Für die Erstbewertung sinnvoll vorzubereiten

• Anspruchsschreiben, Anhörungen, Bescheide und Fristnotizen
• Chronologie des Vorfalls einschließlich interner und externer Kommunikation
• Verzeichnis von Verarbeitungstätigkeiten, Verträge, Rollenzuordnung und Richtlinien
• technische Reports, Protokolle, Tickets, Freigaben und Angaben zu Dienstleistern
• bereits versandte Meldungen, Auskünfte oder Stellungnahmen

Wie ITMR in Privacy-Litigation-Mandaten unterstützt

Im Vordergrund stehen eine belastbare Verfahrensstrategie, saubere Tatsachenaufbereitung und wirtschaftlich sinnvolle Entscheidungen. Reaktive Einzelfallkommunikation allein reicht dafür nicht.

Geeignet für professionell geprägte Mandate

Die Seite richtet sich an Unternehmen, Unternehmer, Gründer, Start-ups, Agenturen, Plattformbetreiber, Investoren, Entscheider, Führungskräfte, Fachkräfte, Rechteinhaber und Personen des öffentlichen Lebens mit unternehmensnaher oder reputationssensibler Ausgangslage. Nicht im Vordergrund steht die typische verbraucherrechtliche Einzelmandatslogik.

Frühe Einordnung spart oft Fehlerkosten

Ob Anspruchsschreiben, Auskunftskonflikt, Datenpanne, Anhörung, Bußgeldrisiko oder laufendes Verfahren: Je früher Sachverhalt, Dokumentation und Kommunikationslinie geordnet werden, desto besser lassen sich unnötige Eskalationen vermeiden.

Zentrale Begriffe in Privacy Litigation

Privacy Litigation

Streitige Datenschutzpraxis vor Gerichten, Behörden und gegenüber Anspruchstellern.

Immaterieller Schaden

Nichtvermögensschaden, etwa ein nachvollziehbarer Kontrollverlust über eigene Daten, der nach Art. 82 DSGVO ersatzfähig sein kann.

Kausalität

Ursächlicher Zusammenhang zwischen Verstoß und Schaden. Er muss für einen Anspruch nach Art. 82 DSGVO vorliegen.

Auskunftsersuchen

Antrag einer betroffenen Person auf Auskunft über die Verarbeitung ihrer Daten nach Art. 15 DSGVO.

Datenpanne

Verletzung des Schutzes personenbezogener Daten, die Meldepflichten nach Art. 33 DSGVO auslösen kann.

Anhörung

Gelegenheit zur Stellungnahme gegenüber der Aufsichtsbehörde, bevor sie eine Maßnahme trifft.

Serienforderungen

Viele gleichgelagerte Ansprüche nach einem Vorfall, die eine zentrale Antwortlinie erfordern.

Die Begriffe dienen der Orientierung. Maßgeblich sind die Normen und die Rechtsprechung im Einzelfall.

Normen und Quellen

Die folgenden Fundstellen tragen die Aussagen dieser Seite. Unionsrecht (EU) und deutsches Recht (DE) sind getrennt gekennzeichnet.

Häufige Fragen zu Privacy Litigation

Die Antworten ersetzen keine Einzelfallprüfung. In Datenschutzverfahren hängen Risiko und Verteidigungsspielraum oft an Fristen, Dokumentation, Beweisqualität und der bereits abgegebenen Kommunikation.

Ansprechpartner für Privacy Litigation bei ITMR