Datenleck bei der Bank: Schadensersatz nach Art. 82 DSGVO
Wenn eine Bank oder ein Zahlungsinstitut personenbezogene Daten nicht ausreichend schützt und Kriminelle Zugriff erhalten, kann daraus ein eigenständiger Schadensersatzanspruch entstehen.
Banken, Broker und Zahlungsinstitute verwalten hochsensible Daten – von der Kontoverbindung über die Kreditwürdigkeit bis zur Kopie des Personalausweises. Wird eine solche Datenbank gehackt, ein Mitarbeiter-Laptop gestohlen oder eine Schnittstelle fehlerhaft konfiguriert, verlieren Kunden die Kontrolle über genau diese Informationen. Wer sich in dieser Situation mit dem Thema Datenleck Bank DSGVO Schadensersatz beschäftigt, stößt schnell auf eine zentrale Norm des europäischen Datenschutzrechts.
Art. 82 DSGVO gibt Betroffenen einen eigenständigen Anspruch auf Schadensersatz gegen die verantwortliche Stelle – unabhängig davon, ob die gestohlenen Daten später tatsächlich missbraucht werden. Der Bundesgerichtshof hat diese Linie 2024 in einer vielbeachteten Leitentscheidung bestätigt und damit vielen Betroffenen den Weg zu einer Entschädigung erleichtert.
Dieser Beitrag ordnet ein, wann ein Datenleck bei der Bank überhaupt einen Anspruch auslöst, wie hoch die Entschädigung ausfallen kann, welche Auskunftsrechte zusätzlich bestehen und wie Betroffene ihre Ansprüche in der Praxis durchsetzen. Einen vertiefenden Überblick zur Anspruchsgrundlage bietet auch unser Grundlagenbeitrag zum Datenleck-Schadensersatz.
Betroffene eines Datenlecks bei ihrer Bank sollten zeitnah prüfen, ob ihnen ein Anspruch nach Art. 82 DSGVO zusteht. Jetzt unverbindlich Kontakt aufnehmen.
Was ein Datenleck bei der Bank für Betroffene bedeutet
Ein Datenleck liegt vor, wenn personenbezogene Daten ohne Berechtigung offengelegt, verändert, gelöscht oder für Dritte zugänglich werden. Bei Banken und Zahlungsinstituten betrifft das typischerweise Namen, Geburtsdaten, IBANs, Ausweiskopien, Transaktionshistorien oder Bonitätsdaten. Ursachen sind vielfältig: ein Hackerangriff auf die IT-Infrastruktur, eine falsch konfigurierte Cloud-Schnittstelle, ein verlorenes Firmen-Notebook oder auch ein interner Fehler, bei dem ein Mitarbeiter Kundendaten an den falschen Empfänger versendet.
Für die rechtliche Bewertung spielt es zunächst keine Rolle, ob die Bank vorsätzlich gehandelt hat. Entscheidend ist, dass die Bank als verantwortliche Stelle nach Art. 4 Nr. 7 DSGVO die technischen und organisatorischen Maßnahmen zum Schutz der Daten nicht ausreichend umgesetzt hat. Genau daran knüpft der Anspruch aus Art. 82 DSGVO an – unabhängig von einer klassischen vertraglichen Pflichtverletzung.
Art. 82 DSGVO: Die Rechtsgrundlage für Schadensersatz
Der zentrale Baustein für einen Anspruch auf Datenleck Bank DSGVO Schadensersatz ist Art. 82 DSGVO. Die Norm gewährt jeder Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder Auftragsverarbeiter.
Wichtig ist die Unterscheidung zwischen materiellem und immateriellem Schaden. Ein materieller Schaden liegt etwa vor, wenn nach dem Datenleck tatsächlich Geld vom Konto abfließt, weil Kriminelle die erbeuteten Daten für einen Phishing-Angriff nutzen. Ein immaterieller Schaden kann bereits im bloßen Verlust der Kontrolle über die eigenen Daten liegen – auch dann, wenn noch kein konkreter Missbrauch nachgewiesen ist. Diese zweite Fallgruppe hat für die Praxis erhebliche Bedeutung, weil sie den Zugang zu einer Entschädigung deutlich erleichtert.
BGH VI ZR 10/24: Kontrollverlust genügt als Schaden
Mit Urteil vom 18.11.2024 (VI ZR 10/24) hat der Bundesgerichtshof im sogenannten Facebook-Scraping-Fall entschieden, dass bereits ein bloßer, auch nur vorübergehender Kontrollverlust über personenbezogene Daten infolge eines DSGVO-Verstoßes einen ersatzfähigen immateriellen Schaden nach Art. 82 Abs. 1 DSGVO darstellen kann. Ein konkret nachgewiesener Missbrauch der Daten ist danach nicht zwingend erforderlich.
Für den reinen Kontrollverlust nennt der Bundesgerichtshof als Orientierungsgröße einen Betrag von rund 100 Euro. Kann ein Betroffener zusätzlich belegen, dass ihn der Vorfall spürbar belastet hat – etwa durch nachgewiesene Sorgen vor Identitätsdiebstahl oder konkrete Folgeanrufe von Betrügern –, kann der Ersatzbetrag höher ausfallen. Diese Entscheidung ist auch für Datenlecks bei Banken maßgeblich, weil sie die Hürde für einen Anspruch auf Datenleck Bank DSGVO Schadensersatz spürbar absenkt.
Voraussetzungen: Wann besteht ein Anspruch?
Ob im Einzelfall ein Anspruch auf Schadensersatz besteht, hängt im Kern von drei Voraussetzungen ab, die zusammen vorliegen müssen.
- Ein Verstoß gegen die DSGVO – etwa unzureichende technische und organisatorische Sicherheitsmaßnahmen bei der Bank oder eine unbefugte Weitergabe von Daten an Dritte.
- Ein Schaden – materiell (finanzieller Verlust) oder immateriell (Kontrollverlust, nachgewiesene Beeinträchtigung, Sorgen vor Missbrauch).
- Ein Kausalzusammenhang zwischen dem DSGVO-Verstoß und dem eingetretenen Schaden.
Die Bank trägt dabei nach Art. 82 Abs. 3 DSGVO die Beweislastumkehr dafür, dass sie den Umstand, durch den der Schaden eingetreten ist, in keiner Weise zu vertreten hat. In der Praxis müssen Banken also darlegen, dass sie angemessene Schutzmaßnahmen getroffen hatten – gelingt ihnen das nicht, spricht vieles für den Anspruch des Betroffenen.
Wie hoch ist der Schadensersatz nach einem Datenleck?
Die Frage nach der Höhe ist bei Datenleck Bank DSGVO Schadensersatz besonders praxisrelevant, weil sie sich nicht pauschal beziffern lässt. Für den reinen Kontrollverlust hat der Bundesgerichtshof die genannte Größenordnung von rund 100 Euro als Orientierung gesetzt. Kommen weitere Umstände hinzu – etwa eine besonders sensible Datenkategorie wie Ausweisdokumente, eine große Zahl betroffener Personen, eine lange Dauer bis zur Benachrichtigung oder ein nachgewiesener Vertrauensverlust gegenüber der Bank –, kann ein Gericht einen höheren Betrag zusprechen.
Kommt es infolge des Datenlecks tatsächlich zu einem Vermögensschaden, etwa weil Betrüger mit den erbeuteten Daten ein Konto bei der Targobank oder einer anderen Bank kompromittieren, kommt dieser Schaden als materieller Posten zusätzlich zum immateriellen Ausgleich hinzu. Ähnliche Bewertungsfragen stellen sich, wenn nach einem Kryptobetrug Daten einer Handelsplattform kompromittiert wurden. Betroffene sollten deshalb sämtliche Folgen des Vorfalls dokumentieren, bevor sie einen Anspruch geltend machen.
Als erfahrene Anwälte im Bank- und Kapitalmarktrecht ordnen wir Ihren Fall rechtlich ein und prüfen, welche Ansprüche und Schritte für Sie bestehen. Kontaktieren Sie uns jederzeit für ein unverbindliches Erstgespräch.
Auskunftsrecht nach Art. 15 DSGVO nutzen
Neben dem Schadensersatzanspruch steht Betroffenen der Auskunftsanspruch aus Art. 15 DSGVO zur Verfügung. Damit können Kunden von ihrer Bank verlangen, offenzulegen, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck dies geschieht, an wen Daten weitergegeben wurden und – bei einem Datenleck besonders relevant – welche Informationen konkret betroffen waren.
Die Auskunft ist für Betroffene ein wichtiges Werkzeug, um den Umfang eines Datenlecks überhaupt zu erfassen und die eigenen Ansprüche zu beziffern. Banken sind zudem nach Art. 33 und Art. 34 DSGVO verpflichtet, meldepflichtige Datenschutzverletzungen der zuständigen Aufsichtsbehörde und – bei einem voraussichtlich hohen Risiko für die Rechte der Betroffenen – auch den betroffenen Personen selbst mitzuteilen.
Cybersicherheitspflichten der Bank: DORA und NIS-2
Für Finanzunternehmen gilt seit dem 17.01.2025 zusätzlich die europäische Verordnung DORA (VO (EU) 2022/2554). Sie verpflichtet Banken zu einem strukturierten IT-Risikomanagement, zur Meldung schwerwiegender IT-Vorfälle und zur laufenden Kontrolle von IT-Drittanbietern. Ein Verstoß gegen diese Vorgaben ist zwar keine eigenständige Anspruchsgrundlage für Betroffene, kann aber im Rahmen von Art. 82 DSGVO ein wichtiges Indiz dafür sein, dass die Bank ihre Schutzpflichten vernachlässigt hat.
Ergänzend rückt die EU-Richtlinie NIS-2 (EU) 2022/2555 in den Fokus, deren nationale Umsetzung in Deutschland durch das NIS2-Umsetzungsgesetz erfolgt ist, das am 5. Dezember 2025 im Bundesgesetzblatt verkündet wurde und in Kraft ist. Sie sieht verschärfte Cybersicherheitspflichten, eine persönliche Haftung der Geschäftsführung sowie Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes vor. Für betroffene Bankkunden zeigt dieser regulatorische Rahmen, dass der Gesetzgeber IT-Sicherheit im Finanzsektor zunehmend ernst nimmt.
Typische Auslöser: Phishing, Quishing und KI-gestützte Angriffe
Ein Datenleck bei der Bank entsteht nicht immer durch einen klassischen Hackerangriff auf zentrale Server. Häufig sind es einzelne, gezielte Angriffswege, die am Ende zum selben Ergebnis führen: unbefugter Zugriff auf Kundendaten. Dazu zählen Phishing-Mails, die Login-Daten abgreifen, QR-Code-Betrug (Quishing) an Zahlterminals oder in gefälschten Rechnungen sowie zunehmend KI-gestützte Angriffe mit gefälschten Stimmen oder täuschend echten Nachrichten im Namen der Bank.
Wer bereits Opfer einer solchen Masche geworden ist – etwa nach einem Vorfall bei der HypoVereinsbank oder im Zusammenhang mit einer unfreiwilligen Rolle als Finanzagent, sollte beide Ebenen prüfen: den zahlungsrechtlichen Anspruch aus einer nicht autorisierten Verfügung und den datenschutzrechtlichen Anspruch, wenn die Bank selbst durch mangelhafte Sicherheitsvorkehrungen zum Datenleck beigetragen hat. Beide Ansprüche schließen sich nicht gegenseitig aus und können nebeneinander geprüft werden.
Verjährung von Ansprüchen wegen eines Datenlecks
Ansprüche nach Art. 82 DSGVO unterliegen der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB in Verbindung mit § 199 BGB). Die Frist beginnt regelmäßig mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Betroffene von den anspruchsbegründenden Umständen sowie der Person der Bank als Verantwortlicher Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen.
Unabhängig von dieser Kenntnis gilt zusätzlich die kenntnisunabhängige Höchstfrist des § 199 Abs. 3 BGB: zehn Jahre ab Entstehung des Anspruchs beziehungsweise dreißig Jahre ab dem schädigenden Ereignis, wobei die früher endende Frist maßgeblich ist. Betroffene sollten dennoch nicht zu lange warten, denn je länger ein Vorfall zurückliegt, desto schwieriger wird es in der Praxis, den Kausalzusammenhang zwischen dem Datenleck und einem eingetretenen Schaden zu belegen.
So gehen Betroffene bei einem Datenleck strukturiert vor
Wer einen Anspruch auf Datenleck Bank DSGVO Schadensersatz geltend machen möchte, sollte nicht ungeprüft eine Zahlung fordern, sondern strukturiert vorgehen. Folgende Schritte haben sich in der Praxis bewährt.
- Benachrichtigung der Bank genau dokumentieren – inklusive Datum, Inhalt und Umfang der mitgeteilten Datenkategorien.
- Auskunft nach Art. 15 DSGVO anfordern, um den vollständigen Umfang des Vorfalls zu klären.
- Konkrete Folgen des Vorfalls festhalten – etwa verdächtige Kontobewegungen, Phishing-Versuche oder nachweisbare psychische Belastung.
- Fristen im Blick behalten, insbesondere bei zusätzlich betroffenen zahlungsrechtlichen Ansprüchen wie der Ausschlussfrist nach § 676b Abs. 2 BGB.
- Anwaltliche Prüfung einholen, bevor eine Bank einen pauschalen Vergleich anbietet oder Ansprüche vorschnell zurückweist.
Auch wenn eine Falschberatung oder der Widerruf eines Finanzprodukts auf den ersten Blick nichts mit einem Datenleck zu tun haben, zeigen solche Parallelfälle, dass Banken in ganz unterschiedlichen Konstellationen ihre Pflichten gegenüber Kunden verletzen können. Eine anwaltliche Gesamtschau hilft, sämtliche in Betracht kommenden Ansprüche zu erkennen und nicht ungenutzt verstreichen zu lassen.
Kanzlei Dr. Araujo Kurth – Ihr Partner im Bank- und Kapitalmarktrecht
Die Kanzlei Dr. Araujo Kurth berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.
Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.
Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.
FAQs – Häufig gestellte Fragen zu Datenleck Bank DSGVO Schadensersatz
Was zählt bei einer Bank als Datenleck im Sinne der DSGVO?
Als Datenleck gilt jede unbefugte Offenlegung, Veränderung oder der Verlust personenbezogener Daten – etwa durch einen Hackerangriff, eine fehlerhafte IT-Konfiguration oder einen internen Fehler. Betroffen sein können Namen, IBANs, Ausweiskopien oder Transaktionsdaten.
Muss ich beweisen, dass meine Daten tatsächlich missbraucht wurden?
Nein. Nach der Rechtsprechung des Bundesgerichtshofs (VI ZR 10/24) genügt bereits der bloße Kontrollverlust über die eigenen Daten als ersatzfähiger immaterieller Schaden. Ein nachgewiesener Missbrauch ist nicht zwingend erforderlich, kann aber den Ersatzbetrag erhöhen.
Wie hoch ist der Schadensersatz nach einem Datenleck bei der Bank?
Für den reinen Kontrollverlust orientieren sich Gerichte häufig an einer Größenordnung von rund 100 Euro. Bei besonders sensiblen Daten, langer Verzögerung der Benachrichtigung oder nachgewiesener Belastung kann der Betrag höher ausfallen.
Welche Rolle spielt Art. 82 DSGVO genau?
Art. 82 DSGVO ist die zentrale Anspruchsgrundlage für Schadensersatz bei DSGVO-Verstößen. Er umfasst materielle und immaterielle Schäden und richtet sich gegen den Verantwortlichen, hier die Bank, sowie gegebenenfalls gegen Auftragsverarbeiter.
Wer trägt die Beweislast bei einem Datenleck?
Die Bank muss nach Art. 82 Abs. 3 DSGVO darlegen, dass sie den Umstand, durch den der Schaden eingetreten ist, in keiner Weise zu vertreten hat. Gelingt ihr dieser Entlastungsbeweis nicht, spricht vieles für einen Anspruch des Betroffenen.
Kann ich neben dem Schadensersatz auch Auskunft verlangen?
Ja. Über Art. 15 DSGVO können Betroffene von ihrer Bank verlangen, offenzulegen, welche Daten verarbeitet wurden, an wen sie weitergegeben wurden und welche Informationen konkret vom Datenleck betroffen waren.
Was hat DORA mit einem Datenleck bei der Bank zu tun?
DORA verpflichtet Finanzunternehmen seit Januar 2025 zu einem strukturierten IT-Risikomanagement und zur Meldung schwerwiegender IT-Vorfälle. Ein Verstoß gegen diese Pflichten kann im Rahmen von Art. 82 DSGVO als Indiz für mangelnde Schutzmaßnahmen dienen.
Wie lange habe ich Zeit, meinen Anspruch geltend zu machen?
Es gilt die regelmäßige Verjährungsfrist von drei Jahren nach §§ 195, 199 BGB, beginnend mit Kenntnis vom Schaden und der verantwortlichen Bank. Zusätzlich besteht eine kenntnisunabhängige Höchstfrist von zehn Jahren ab Entstehung des Anspruchs.
Was, wenn das Datenleck auch zu einem finanziellen Schaden geführt hat?
Kommt es infolge eines Datenlecks zusätzlich zu einer nicht autorisierten Zahlung, etwa durch anschließenden Phishing-Betrug, sollte parallel geprüft werden, ob ein Erstattungsanspruch aus §§ 675u, 675v BGB besteht. Beide Ansprüche können unabhängig voneinander verfolgt werden.
Lohnt sich anwaltliche Unterstützung bei einem Datenleck?
Ja, da die Bewertung von Schadenshöhe, Kausalzusammenhang und Fristen im Einzelfall komplex ist. Eine anwaltliche Prüfung hilft, Ansprüche vollständig zu erfassen und gegenüber der Bank sachgerecht durchzusetzen.
