Schadenersatz nach DSGVO bei KI-Vorfällen: Was wirklich vorliegen muss
Kurz gesagt
Ein Datenschutzverstoß durch KI begründet nicht automatisch einen Schadenersatzanspruch. Nach der Rechtsprechung müssen ein tatsächlicher Schaden und eine Kausalität zwischen Verstoß und Schaden vorliegen. Für immateriellen Schaden gibt es keine eigenständige Erheblichkeitsschwelle – aber ein bloßer Rechtsverstoß ohne feststellbaren Schaden reicht nicht aus.
Der verbreitete Irrtum: Verstoß gleich Schadenersatz
Viele Unternehmen überschätzen ihr Haftungsrisiko, weil sie annehmen, jeder nachgewiesene DSGVO-Verstoß führe automatisch zu Schadenersatzforderungen. Nach gefestigter Rechtsprechung ist das nicht so: Ein Verstoß gegen die DSGVO ist eine notwendige, aber keine hinreichende Bedingung für einen Anspruch nach Art. 82 DSGVO. Zusätzlich müssen ein tatsächlicher Schaden – materiell oder immateriell – und eine Kausalität zwischen dem konkreten Verstoß und diesem Schaden vorliegen und im Streitfall dargelegt werden.
Keine Erheblichkeitsschwelle, aber ein Schaden muss real sein
Ein zweiter, ebenso wichtiger Punkt: Für immateriellen Schaden – etwa Ärger, Sorge oder Kontrollverlust über die eigenen Daten – gibt es keine eigenständige Erheblichkeitsschwelle, die einen „Bagatellschaden" von vornherein ausschließt. Das bedeutet aber nicht, dass jedes unangenehme Gefühl automatisch als Schaden zählt: Ein Betroffener muss weiterhin konkret darlegen, dass und welcher – auch geringfügige – Nachteil ihm durch den Verstoß entstanden ist. Ein rein hypothetisches oder bloß behauptetes Unwohlsein ohne jede Substanziierung genügt regelmäßig nicht.
Warum das für den KI-Einsatz relevant ist
Bei KI-gestützten Verarbeitungen entstehen naturgemäß viele potenzielle Verstoßpunkte: fehlende Rechtsgrundlage für eine Trainingsdatennutzung, unzureichende Transparenz gegenüber Betroffenen, ein zu weit gefasster Zweck wie „Modellverbesserung" ohne Konkretisierung, oder eine fehlerhafte Risikobewertung vor dem Einsatz. Nicht jeder dieser Verstöße führt automatisch zu einem individuellen Schadenersatzanspruch – aber jeder erhöht das Risiko, dass im Streitfall ein Gericht sowohl den Verstoß als auch einen kausalen Schaden bejaht. Unternehmen sollten deshalb nicht nur auf das „Ob" eines Verstoßes schauen, sondern auch auf das realistische Schadensrisiko für Betroffene – etwa bei sensiblen Datenkategorien oder großer Reichweite eines Systems ist dieses Risiko naturgemäß höher.
Was das für die Risikobewertung bedeutet
Eine realistische Risikoeinschätzung unterscheidet zwischen formalen Compliance-Lücken – etwa eine unvollständige Dokumentation im Verzeichnis von Verarbeitungstätigkeiten – und Verstößen mit echtem Schadenspotenzial für Betroffene, etwa die unautorisierte Offenlegung sensibler Daten über ein KI-System. Beide Kategorien sollten behoben werden, aber die Priorisierung und das tatsächliche Haftungsrisiko unterscheiden sich erheblich. Diese Differenzierung hilft auch bei der Kommunikation mit der Geschäftsführung: Nicht jede offene Compliance-Frage bedeutet ein unmittelbares finanzielles Risiko in Millionenhöhe.
Praktische Konsequenzen für Unternehmen
1. Dokumentieren Sie bei jedem KI-bezogenen Datenschutzvorfall nicht nur den Verstoß selbst, sondern auch eine ehrliche Einschätzung des tatsächlichen Schadenspotenzials für Betroffene. 2. Behandeln Sie „kein Schadenersatzrisiko" nicht als Freibrief – Aufsichtsbehörden können unabhängig von individuellen Schadenersatzansprüchen Bußgelder verhängen, wenn ein Verstoß vorliegt. 3. Bei sensiblen Datenkategorien oder großer Reichweite eines KI-Systems ist von einem höheren Schadenersatzrisiko auszugehen als bei begrenzten, klar abgegrenzten Anwendungen.