Hackerangriff und DSGVO-Schadensersatz – LAG Hessen, Urteil vom 10.02.2026 – 12 SLa 709/25

Cyberangriffe sind für Unternehmen längst kein Ausnahmefall mehr. Kommt es dabei zu einem Zugriff auf personenbezogene Daten, stellt sich regelmäßig die Frage, ob betroffene Personen einen Anspruch auf Schadensersatz nach Art. 82 DSGVO haben. Mit genau dieser Konstellation hatte sich das Landesarbeitsgericht Hessen zu befassen.

Ausgangspunkt des Verfahrens war ein Hackerangriff auf ein Unternehmen, bei dem auch personenbezogene Daten von Beschäftigten betroffen waren. Ein Arbeitnehmer machte daraufhin immateriellen Schadensersatz geltend. Er argumentierte im Wesentlichen, dass bereits der unbefugte Zugriff auf seine Daten sowie das damit verbundene Risiko eines Missbrauchs einen ersatzfähigen Schaden darstelle.

Das Landesarbeitsgericht folgte dieser Argumentation nicht. Es stellte zunächst klar, dass ein Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO nicht automatisch bereits dann besteht, wenn personenbezogene Daten von einem Sicherheitsvorfall betroffen sind. Erforderlich sei vielmehr, dass ein konkreter Schaden dargelegt wird oder zumindest greifbare Anhaltspunkte für einen solchen Schaden bestehen. Allein der Umstand, dass ein Hackerangriff erfolgreich war, genügt nach Auffassung des Gerichts nicht. Insbesondere lasse sich daraus nicht ohne Weiteres schließen, dass das betroffene Unternehmen unzureichende technische oder organisatorische Maßnahmen im Sinne der DSGVO getroffen hat. Auch insoweit bedarf es einer gesonderten Prüfung des Einzelfalls. Das Gericht betonte zudem, dass eine rein abstrakte Befürchtung eines möglichen Datenmissbrauchs nicht ausreicht. Für die Annahme eines immateriellen Schadens müsse zumindest eine gewisse Wahrscheinlichkeit bestehen, dass die betroffenen Daten tatsächlich missbräuchlich verwendet werden oder dass dem Betroffenen ein spürbarer Nachteil entstanden ist. Ein bloßes Unwohlsein oder die allgemeine Sorge vor einem möglichen Missbrauch genüge hierfür nicht.

Auch hinsichtlich möglicher zukünftiger Schäden setzte das Gericht klare Maßstäbe. Eine Feststellung der Ersatzpflicht für künftige Schäden komme nur dann in Betracht, wenn ein Schadenseintritt mit einer gewissen Wahrscheinlichkeit zu erwarten ist. Die bloße Möglichkeit eines Schadens reiche nicht aus.

Die Entscheidung fügt sich in eine Reihe von Urteilen ein, die die Anforderungen an Schadensersatzansprüche nach der DSGVO konkretisieren. Sie zeigt, dass die Gerichte weiterhin keine „Automatik“ beim Schadensersatz nach Datenschutzverstößen annehmen. Vielmehr bleibt es bei dem Grundsatz, dass ein Schaden substantiiert dargelegt werden muss.

Für die Praxis bedeutet das zweierlei. Betroffene können sich nicht allein auf den Umstand eines Datenabflusses berufen, sondern müssen konkrete Auswirkungen auf ihre persönliche Situation aufzeigen. Unternehmen wiederum können sich nicht pauschal entlasten, müssen aber auch nicht bei jeder Datenschutzverletzung automatisch mit Schadensersatzansprüchen rechnen. Entscheidend bleibt die konkrete Ausgestaltung der Sicherheitsmaßnahmen und die Frage, ob tatsächlich ein relevanter Schaden entstanden ist oder zumindest ernsthaft droht.