Immaterieller Schaden nach DSGVO: Wie sichere Aktenvernichtung Kontrollverlust verhindert

29. Oktober 2026

Ein Karton mit Personalakten im Hinterhof, Ausdrucke im offenen Altpapiercontainer, eine ausgemusterte Festplatte im Elektroschrott: Überall liegen personenbezogene Daten offen. Die Datenschutz-Grundverordnung erfasst geordnet abgelegte Papierakten ebenso wie digitale Systeme. Gelangen Unterlagen in fremde Hände, verlieren Betroffene die Kontrolle über ihre Informationen.

Unter dem Schlagwort „Immaterieller Schaden DSGVO" beschäftigt diese Situation die Gerichte. Forderungen nach DSGVO Schadenersatz haben seit den Grundsatzurteilen aus Luxemburg an Bedeutung gewonnen. Wann ein immaterieller Schaden nach DSGVO vorliegt und was daraus für die Aktenentsorgung folgt, zeigt dieser Beitrag.

Begriff und Voraussetzungen: Was ist ein immaterieller Schaden nach DSGVO?

Anspruchsgrundlage ist Art. 82 der Datenschutz-Grundverordnung. Ersatz verlangen kann danach jede Person, der durch einen Verstoß ein materieller oder immaterieller Schaden entstanden ist. Materielle Schäden sind bezifferbar, etwa Kosten nach einem Kontobetrug. Ein immaterieller Schaden nach DSGVO betrifft dagegen die Persönlichkeit, beispielsweise durch Bloßstellung oder begründete Sorge vor Missbrauch. Erwägungsgrund 85 nennt ausdrücklich auch den Kontrollverlust.

Ein Datenschutzverstoß allein genügt nicht. Ein Anspruch auf Schadensersatz nach Art. 82 DSGVO setzt Verstoß, Schaden und Kausalität zwischen den beiden voraus. Eine Erheblichkeitsschwelle gibt es nicht. Ob den Betroffenen ein immaterieller Schaden DSGVO-Betroffenen entstanden ist, müssen diese darlegen und beweisen. Dass immaterieller Schadenersatz DSGVO Verstöße nicht bestrafen soll, stellt der EuGH klar.

Kontrollverlust DSGVO: Wann der Verlust der Datenhoheit zum Schaden wird

Ein Kontrollverlust personenbezogene Daten betreffend liegt vor, wenn Betroffene nicht mehr wissen, wer ihre Informationen kennt und nutzt. Nach dem EuGH kann schon ein kurzzeitiger Kontrollverlust einen Schaden darstellen (EuGH, Urteil vom 14.12.2023; EuGH, Urteil vom 04.10.2024 C-456/22, C-200/23). Gleiches gilt für begründete Angst vor Missbrauch (EuGH, Urteil vom 14.12.2023, C-340/21) und nachgewiesene negative Gefühle wie Sorge oder Ärger (EuGH, Urteil vom 04.09.2025, C-655/23).

Das schlägt sich auch in der Rechtsprechung des Bundesgerichtshofs wieder (Urteil vom 18.11.2024, VI ZR 10/24): Ein Identitätsdiebstahl oder andere spürbare Folgen müssen nicht hinzukommen. Für den bloßen Kontrollverlust hielt er 100 Euro für vertretbar. In welcher Höhe immaterieller Schadenersatz DSGVO Klägern zusteht, entscheiden die nationalen Gerichte.

Grenze ist das rein hypothetische Risiko. Wurden zum Beispiel Vertragsunterlagen irrtümlich einem anderen Kunden ausgehändigt und ungelesen zurückgegeben, reicht das bloße Missbrauchsrisiko nicht aus (EuGH, Urteil vom 25.01.2024, C-687/21). Ob ein immaterieller Schaden nach DSGVO entsteht, hängt davon ab, ob Dritte tatsächlich Zugriff hatten. Das Risiko von DSGVO Schadenersatz wächst mit jeder Unterlage, die unkontrolliert den Betrieb verlässt.

Vom Papierkorb zum Haftungsfall: Was falsch entsorgte Unterlagen auslösen

Der Kontrollverlust DSGVO-relevanter Unterlagen beginnt meist unspektakulär. Wie schnell daraus eine Datenschutzverletzung wird, zeigen typische Situationen:

Personalakten mit Beschäftigtendaten landen nach Ablauf der gesetzlichen Aufbewahrungsfristen im Gewerbeabfall
Abgelehnte Bewerbungsunterlagen mit Zeugnissen und Ausweiskopie wandern nach Abschluss des Verfahrens ungeschreddert ins Altpapier
Ausdrucke mit Kundendaten und Kontoverbindungen stapeln sich im offenen Sammelkarton
Befunde oder Arztbriefe mit Gesundheitsdaten verlassen die Praxis im Müllsack

Jedes Mal droht eine unbefugte Offenlegung personenbezogener Daten. Namen, Geburtsdaten und Bankverbindungen ermöglichen Identitätsdiebstahl oder Phishing. Wie sensibel Bewerbungsunterlagen sind, zeigt der Fall Quirin Privatbank: Schon die versehentliche Weitergabe der Gehaltsvorstellungen eines Bewerbers an einen Dritten kann einen Schaden auslösen, sofern der Betroffene negative Folgen belegt (EuGH, Urteil vom 04.09.2025, C-655/23). So kann ein immaterieller Schaden DSGVO-Verantwortliche teuer zu stehen kommen, denn bei hunderten Betroffenen summiert sich auch ein geringer DSGVO Schadensersatz erheblich.

Aktenvernichtung DSGVO: Warum der gesamte Prozess zur Compliance gehört

Auch das Vernichten ist eine Verarbeitung im Sinne der Datenschutz-Grundverordnung (Art. 4 Nr. 2). Verantwortliche müssen dabei nach Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen treffen. Damit die Aktenvernichtung DSGVO-konform abläuft, genügt der Blick auf den Schredder nicht. Risiken entstehen vor allem an den Übergängen:

1. Sammlung am Arbeitsplatz

2. Zwischenlagerung bis zur Abholung

3. Zugriffsschutz für Behälter und Lagerräume

4. Übergabe an den Dienstleister, idealerweise mit Übergabeprotokoll

5. Transport zur Anlage

6. Vernichtung und Nachweis

Jede Station braucht klare Regeln und Zuständige. Eine lückenlos dokumentierte Kette ist das stärkste Argument, falls jemand DSGVO Schadensersatz fordert.

DIN 66399 und ISO/IEC 21964: Schutzklasse und Sicherheitsstufe richtig wählen

Wie fein Unterlagen zerkleinert werden müssen, beschreibt die DIN 66399, deren Kern in die Normenreihe ISO/IEC 21964 übernommen wurde. Drei Schutzklassen bilden den Schutzbedarf ab: normal (1), hoch (2) und sehr hoch (3). Sieben Sicherheitsstufen legen fest, wie klein die Partikel sein müssen; für Papier reichen sie von P-1 bis P-7.

Schutzklasse 2 lässt P-3 bis P-5 zu, Schutzklasse 3 beginnt bei P-4. Für Unterlagen mit Personenbezug wie Kundendaten gilt meist mindestens Schutzklasse 2. Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO sowie Berufsgeheimnisse ordnen viele Verantwortliche Schutzklasse 3 zu. Maßgeblich ist das Schadenspotenzial bei einer Offenlegung. Für Festplatten oder USB-Sticks gelten eigene Materialklassen, wie der Ratgeber zur Datenträgervernichtung im Unternehmen erläutert.

Typische Schwachstellen: Wo Unterlagen im Alltag ungeschützt bleiben

Ein Datenschutzverstoß bei der Entsorgung entsteht selten aus Absicht, meist aus Routine. Typische Lücken sind:

- offene Papierkörbe mit Notizen voller Kundendaten

- Ablagekörbe, in denen Beschäftigtendaten auf die Vernichtung warten

- unverschlossene Sammelkartons im Kopierraum

- frei zugängliche Zwischenlager im Keller

- zu grob schneidende Aktenvernichter

- unklare Zuständigkeiten und fehlende Vernichtungsnachweise

Jede dieser Lücken kann einen Kontrollverlust DSGVO-geschützter Daten auslösen. Fehler einzelner Beschäftigter entlasten dabei nicht ohne Weiteres: Verantwortliche müssen nachweisen, in keinerlei Hinsicht für den Schaden verantwortlich zu sein (Art. 82 Abs. 3 DSGVO; EuGH, Urteil vom 11.04.2024, C-741/21).

Professionelle Aktenvernichtung: Wie eine geschlossene Kette Risiken senkt

Eine sichere Aktenvernichtung setzt genau an diesen Übergängen an. Bei Berlin Recycling beginnt sie mit der Aktenvernichtung im verschließbaren Sicherheitsbehälter: Metalltonnen mit 70 bis 415 Litern, die direkt in Büro oder Registratur stehen. Einmal eingeworfen, sind Unterlagen dem Zugriff entzogen. Die Behälter werden einmalig oder regelmäßig abgeholt, der Transport wird protokolliert. Die Vernichtung erfolgt in einer nach DIN 66399 zertifizierten Anlage standardmäßig nach Schutzklasse 2, Sicherheitsstufe P-4; für sensible Bestände ist die Vernichtung nach Schutzklasse 3 möglich. Das Vernichtungsprotokoll erhalten Sie mit der Rechnung.

Kleinere Mengen lassen sich per Selbstanlieferung abgeben, sehr große im Großcontainer für Akten. Ganze Archive vernichtet die Archivräumung direkt auf Ihrem Gelände, einzelne Behälter die mobile Aktenvernichtung vor Ort im Schredder-LKW. Festplatten und CDs gehören in die Datenträgervernichtung. Ob Bewerbungsunterlagen oder Mandantenakten: So entsteht eine datenschutzkonforme Aktenvernichtung mit geregelten Zuständigkeiten, geschlossener Transportkette und Vernichtungsnachweis.

Auftragsverarbeitung: Worauf es bei Vertrag und Dienstleisterprüfung ankommt

Beauftragen Sie einen externen Vernichter, liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor, denn der Dienstleister erhält unter Umständen Zugriff auf Personalakten und Kundendaten. Nötig ist ein Vertrag über Gegenstand, Dauer, Datenarten, Weisungsbindung, Vertraulichkeit und Sicherheitsmaßnahmen. Die Verantwortung bleibt beim Auftraggeber. Auf DSGVO-Schadenersatz haftet der Auftragsverarbeiter nur, wenn er eigene Pflichten verletzt oder Weisungen missachtet (Art. 82 Abs. 2).

Bei der Auswahl helfen Prüffragen: Liegen gültige Zertifikate nach DIN 66399 bzw. ISO/IEC 21964 vor? Sind Schutzklasse und Sicherheitsstufe vertraglich fixiert? Sind Behälter und Transporte gesichert? Gibt es Nachweise je Auftrag? Kanzleien, Steuerbüros und Arztpraxen müssen zudem § 203 StGB beachten und Dienstleister zur Verschwiegenheit verpflichten. Idealerweise begleitet ein Datenschutzbeauftragter die Auswahl.

Verdacht auf Datenschutzverletzung: Die ersten Schritte im Überblick

Deutet etwas auf eine unbefugte Offenlegung personenbezogener Daten hin, zählt Tempo. Die folgende Orientierungshilfe ersetzt keine Rechtsberatung im Einzelfall:

Sichern: Unterlagen zurückholen, weitere Zugriffe unterbinden.
Prüfen: Welche Daten und wie viele Personen sind betroffen?
Einbinden: Ist ein Datenschutzbeauftragter benannt, gehört er sofort mit an den Tisch.
Melden: Eine Datenschutzverletzung ist der zuständigen Aufsichtsbehörde, in Berlin der Berliner Beauftragten für Datenschutz und Informationsfreiheit, unverzüglich und möglichst binnen 72 Stunden zu melden, sofern sie voraussichtlich ein Risiko für Betroffene birgt (Art. 33 DSGVO).
Benachrichtigen: Bei hohem Risiko, etwa drohendem Identitätsdiebstahl oder offengelegten Gesundheitsdaten, sind die Betroffenen selbst zu informieren (Art. 34 DSGVO).
Dokumentieren: Jede Datenschutzverletzung ist intern festzuhalten, auch ohne Meldepflicht.

Die im EU-Reformpaket Digital Omnibus diskutierte Lockerung dieser Pflichten gilt noch nicht.

Datenschutz endet erst im Schredder

Auch Fehler bei der Entsorgung personenbezogener Daten können Schadenersatzansprüche nach der DSGVO nach sich ziehen. Die Gerichte verlangen allerdings einen nachgewiesenen Schaden; nicht jeder Datenschutzverstoß führt zu einer Zahlung. Doch schon ein belegter Kontrollverlust kann genügen. Datenschutz endet nicht mit dem Schließen einer Akte oder dem Ausmustern eines Datenträgers. Eine datenschutzkonforme Aktenvernichtung mit verschlossenen Behältern, dokumentierter Übergabe und passender Sicherheitsstufe verringert das Haftungsrisiko spürbar, ob es um Kundendaten, Personalakten oder Patientenunterlagen geht.

Häufige Fragen: Immaterieller Schaden nach DSGVO und sichere Aktenvernichtung

Was ist ein immaterieller Schaden nach DSGVO?

Eine nicht in Geld messbare persönliche Beeinträchtigung infolge eines Verstoßes gegen die Datenschutz-Grundverordnung, etwa Bloßstellung, begründete Sorge vor Missbrauch oder Kontrollverlust im Hinblick auf personenbezogene Daten. Betroffene müssen den Schaden nachweisen.

Wann besteht ein Anspruch auf Schadenersatz nach Art. 82 DSGVO?

DSGVO Schadensersatz setzt Verstoß, Schaden und Kausalität zwischen beiden voraus. Eine Bagatellgrenze gibt es nicht, der bloße Verstoß reicht aber nicht.

Was bedeutet ein Kontrollverlust personenbezogene Daten betreffend?

Betroffene wissen nicht mehr, wer ihre Daten kennt oder nutzt. Ist das Risiko nicht nur hypothetisch, kann darin ein immaterieller Schaden nach DSGVO liegen.

Kann die falsche Entsorgung von Akten eine Datenschutzverletzung darstellen?

Ja. Können Unbefugte entsorgte Unterlagen einsehen, kann eine Datenschutzverletzung vorliegen, die je nach Risiko der Aufsichtsbehörde zu melden ist.

Wie müssen personenbezogene Daten vernichtet werden?

Personenbezogene Daten müssen so vernichtet werden, dass sie nicht wiederhergestellt werden können. Der gesamte Prozess muss von der Sammlung bis zur endgültigen Vernichtung abgesichert sein. Maßstab ist DIN 66399 bzw. ISO/IEC 21964.

Welche Sicherheitsstufe ist für personenbezogene Daten erforderlich?

Das richtet sich nach dem Schutzbedarf. Verbreitet ist Schutzklasse 2 mit P-4, für besonders sensible Daten Schutzklasse 3 ab P-4.

Was ist bei der Beauftragung eines Aktenvernichtungsdienstleisters zu beachten?

Wichtig sind ein Auftragsverarbeitungsvertrag, gültige Zertifikate, fixierte Sicherheitsstufen, gesicherte Behälter und Transporte sowie ein Vernichtungsnachweis.

Bildnachweise: