Nicht jede unerwünschte Werbe-E-Mail führt automatisch zu Schadensersatz! Der BGH hat klargestellt: Ein DSGVO-Verstoß allein reicht nicht aus - es muss ein konkreter Schaden nachgewiesen werden.

Stellen Sie sich vor: Ein Kunde kauft bei Ihnen einen Artikel oder nimmt eine Dienstleistung in Anspruch, und ein Jahr später senden Sie ihm eine Werbe-E-Mail. Der Kunde ist verärgert und fordert 500 Euro Schadensersatz wegen Datenschutzverletzung. Ein Albtraum? Nicht unbedingt, wie ein aktuelles Urteil des Bundesgerichtshofs (BGH) zeigt.

Der Fall: David gegen Goliath?

Die Geschichte klingt zunächst unspektakulär: Ein Kunde kaufte im Januar 2019 Briefkastenaufkleber mit der Aufschrift "Betteln und Hausieren verboten". Im März 2020, zu Beginn der Corona-Pandemie, erhielt er eine E-Mail vom Verkäufer. Die Botschaft war eigentlich positiv: Das Unternehmen versicherte, trotz Pandemie weiterhin seinen vollen Service anzubieten. Der Kunde konnte sich jedoch nicht daran erinnern, in den Erhalt von Werbung per E-Mail eingewilligt zu haben. Er reagierte noch am selben Tag mit einem Widerspruch gegen die Nutzung seiner Daten für Werbezwecke - und forderte gleich 500 Euro Schadensersatz nach der DSGVO.

Was der BGH dazu sagt

Das höchste deutsche Zivilgericht hat mit seiner Entscheidung vom 28. Januar 2025 eine wegweisende Entscheidung getroffen, die für viele Unternehmen relevant ist. Die gute Nachricht für Unternehmen ist, dass nicht jede unerwünschte Werbe-E-Mail automatisch zu Schadensersatz führt. Der BGH hat einen vernünftigen Mittelweg gefunden, der sowohl den Datenschutz ernst nimmt als auch überzogene Forderungen eindämmt.

Die wichtigsten Punkte im Urteil:

1. Verstoß allein reicht nicht aus
   Der BGH macht klar: Selbst wenn eine Werbe-E-Mail gegen die DSGVO verstößt, bedeutet das nicht automatisch, dass Schadensersatz gezahlt werden muss. Ein Verstoß ist die eine Sache - ein nachweisbarer Schaden eine andere.
2. Was ist überhaupt ein "immaterieller Schaden"?
   Hier wird es interessant: Der BGH erklärt, dass auch nicht-materielle Schäden ersetzt werden müssen. Das können zum Beispiel sein:
   • Ein echter Kontrollverlust über persönliche Daten
   • Eine begründete Angst vor Datenmissbrauch
   Aber: Diese Schäden müssen konkret nachgewiesen werden!
3. Wann liegt ein Kontrollverlust vor?
   Ein wichtiger Punkt für die Praxis: Ein Kontrollverlust über Daten liegt nicht schon dann vor, wenn eine Werbe-E-Mail unberechtigt versandt wird. Er könnte aber gegeben sein, wenn das Unternehmen die Daten an Dritte weitergeben würden.
   Praxisbeispiel:
   Ein Kontrollverlust liegt z.B. vor, wenn Sie Kundendaten unverschlüsselt an einen externen Dienstleister senden und diese gestohlen werden. Die bloße Zusendung einer Werbe-E-Mail an die bereits bekannte Adresse des Kunden stellt hingegen keinen Kontrollverlust aus der Sicht des Kunden dar.
4. Zur Frage der Angst vor Datenmissbrauch
   Die bloße Behauptung "Ich habe Angst, dass meine Daten missbraucht werden" reicht nicht aus. Der Kunde muss konkret darlegen können, warum diese Befürchtung berechtigt ist und welche negativen Folgen sich daraus ergeben.

Daraus ergeben sich einige praktische Tipps für den Unternehmensalltag

1. Keine Werbe-E-Mail ohne dokumentierte Einwilligung.
   Dokumentation ist Ihr Schutzschild. Dokumentieren Sie sorgfältig, woher Sie E-Mail-Adressen haben und ob eine Einwilligung zur Werbung vorliegt. Nutzen Sie idealerweise ein integriertes System, das diese Informationen automatisch mit dem Kundenkontakt verknüpft.
2. Schnell reagieren
   Wenn ein Kunde der Datennutzung widerspricht, reagieren Sie zeitnah. Im beschriebenen Fall hatte das Unternehmen nicht auf den Widerruf reagiert - das macht keinen guten Eindruck.
3. Vorsicht bei der Datenweitergabe
   Der echte Kontrollverlust - und damit ein möglicher Schadensersatzanspruch - droht vor allem dann, wenn Kundendaten an Dritte weitergegeben werden. Seien Sie hier besonders vorsichtig.

Wichtiger Hinweis:

Auch wenn in diesem Fall kein Schadensersatz fällig wird, sind Bußgelder der Datenschutzbehörden bei diesem DSGVO-/UWG-Verstoß dennoch möglich - und auch höchst wahrscheinlich! Der BGH hat keine Generalamnestie für Datenschutzverstöße erteilt.

Rechtlicher Rahmen in Deutschland

In Deutschland greift nicht primär die DSGVO, sondern § 7 Gesetz gegen unlauteren Wettbewerb (UWG). Dieses verlangt, dass Kunden aktiv in Werbe-E-Mails einwilligen müssen - außer bei bestehender Kundenbeziehung UND bei Angebot eines dem ursprünglichen Angebot vergleichbaren Produkts/vergleichbarer Dienstleistung (sog. Soft-Opt-in).

Was ist noch zu beachten?

Jede Marketing-E-Mail muss einen funktionierenden Abmeldelink enthalten. Fehlende Opt-out-Links sind ein klassischer DSGVO-Verstoß.

Was bedeutet das Urteil für die Zukunft?

Das Urteil ist eine gute Nachricht für Unternehmen: Es verhindert eine Klagewelle wegen jeder einzelnen unerwünschten Werbe-E-Mail. Gleichzeitig macht es klar, dass Datenschutzverstöße durchaus teuer werden können - nämlich dann, wenn wirklich ein nachweisbarer Schaden entstanden ist.

Fazit

Der BGH hat einen vernünftigen Mittelweg gefunden: Datenschutz wird ernst genommen, überzogene Forderungen werden eingedämmt. Wichtig ist, dass Sie Ihre Marketingkanäle standardisiert und im Griff haben. Nutzen Sie diese Klarheit für Ihre Geschäftskommunikation!