DSGVO-Schadenersatz in Österreich: was Gerichte zusprechen und wie Sie ihn geltend machen

Art. 82 DSGVO gibt Ihnen ein eigenes Recht auf Ausgleich

Wenn ein Unternehmen gegen den Datenschutz verstößt, denken viele zuerst an Bußgelder. Ein Bußgeld landet aber nicht bei Ihnen. Für Sie persönlich hat die Datenschutz-Grundverordnung ein eigenes Werkzeug vorgesehen, den Art. 82 DSGVO: Wer durch einen Verstoß gegen die Verordnung einen Schaden erlitten hat, kann dafür Ersatz verlangen, und zwar vom Verantwortlichen oder vom Auftragsverarbeiter (in Österreich ergänzt durch § 29 DSG).

Ein Punkt spielt Ihnen dabei in die Hände. Das Unternehmen haftet, außer es weist nach, dass es für den Umstand, der den Schaden ausgelöst hat, in keiner Hinsicht verantwortlich ist (Art. 82 Abs. 3 DSGVO). Entlasten muss sich also das Unternehmen, nicht Sie. Ihre Aufgabe ist eine andere: Sie zeigen den Verstoß, Ihren Schaden und den Zusammenhang zwischen beiden. Wie viel dafür nötig ist und wie wenig im Einzelfall schon reichen kann, haben der Europäische Gerichtshof und der Oberste Gerichtshof seit 2023 ziemlich genau ausgeleuchtet. Ob es in Ihrem Fall trägt, prüft eine Rechtsanwaltskanzlei; im CRIF-Fall organisieren wir das für Sie.

Sie sind wegen der CRIF hier? Dann springen Sie gern direkt zum CRIF-Fall: Dort steht, was wir für Betroffene schon tun und warum Ihr eigener Teil in zwei Minuten erledigt ist. Alles zum Angebot finden Sie auf unserer Seite zum CRIF-Schadenersatz.

Geld verloren oder Nerven gelassen: beides kann zählen

Art. 82 DSGVO kennt zwei Arten von Schaden. Der materielle Schaden ist alles, was sich in Ihrem Geldbörsel niederschlägt: ein Kredit, der wegen falscher Daten teurer wurde, ein Vertrag, den es nur gegen Kaution gab, oder Kosten, die Sie aufwenden mussten, um einen Fehler wieder geradezubiegen. Solche Posten belegen Sie wie jeden anderen Vermögensschaden, mit Rechnungen, Angeboten und Schriftverkehr.

Der immaterielle Schaden ist der Teil, der sich nicht in Euro ablesen lässt: Ärger, Sorge, Bloßstellung oder das unangenehme Gefühl, die Kontrolle über die eigenen Daten verloren zu haben. Genau hier liegt der Kern der meisten Datenschutzfälle, denn eine unzulässige Weitergabe oder ein heimlich errechneter Wert kostet Sie oft keinen Cent und belastet trotzdem. Umgangssprachlich heißt das gern DSGVO-Schmerzengeld. Rechtlich trifft das nicht ganz, weil das ABGB Schmerzengeld an eine Körperverletzung knüpft (§ 1325 ABGB); gemeint ist der immaterielle Schadenersatz nach Art. 82 DSGVO mit seinen eigenen Regeln.

Elf Urteile aus Luxemburg haben die Spielregeln geklärt

Seit Mai 2023 hat der Europäische Gerichtshof in rascher Folge entschieden, was Art. 82 DSGVO verlangt. Die Linie ist inzwischen deutlich und für Betroffene in zwei Punkten erfreulich: Eine Erheblichkeitsschwelle gibt es nicht, und auch ein Kontrollverlust über die eigenen Daten kann ein Schaden sein. Im Urteil C-200/23 heißt es, die betroffene Person müsse nachweisen, dass sie tatsächlich einen solchen Schaden erlitten hat, „so geringfügig er auch sein mag“. Die Kehrseite ist ebenso klar: Der Verstoß allein genügt nicht, und der Ersatz soll ausgleichen, nicht bestrafen.

Für Sie folgen daraus zwei Dinge. Erstens zählt auch ein kleiner Schaden. Niemand muss schlaflose Nächte oder einen Arztbesuch vorweisen, um überhaupt mitreden zu dürfen. Zweitens richtet sich der Betrag nach dem, was bei Ihnen angekommen ist. Wie schwer der Verstoß wog, muss das Gericht bei Ihrem Betrag nicht berücksichtigen, und wie sehr das Unternehmen geschlampt hat, darf nach C-655/23 bei der Höhe ausdrücklich keine Rolle spielen.

So viel haben österreichische Gerichte bisher zugesprochen

Feste Tarife für Datenschutzschäden gibt es nicht. Die Höhe legt das Gericht im Einzelfall nach § 273 ZPO fest, wie der OGH etwa im August 2026 für einen immateriellen Schaden festgehalten hat (6 Ob 67/26k). Die Entscheidungen der letzten Jahre zeigen aber recht gut, in welchem Rahmen sich das bewegt:

• 500 €OGH 6 Ob 56/21k, verletzte Auskunftspflicht, rechtskräftig
• 750 €OGH 6 Ob 247/08d, Eintrag in eine Bonitätsdatenbank, vor der DSGVO
• 3.000 €OGH 6 Ob 210/23k, Shitstorm, Datenschutz und Bildnisschutz

Die Zahlen sind Einzelfälle und keine Preisliste. Sie zeigen aber ein klares Muster. Wo jemand nachvollziehbar schildern konnte, was der Verstoß bei ihm ausgelöst hat, ließen die Gerichte Beträge um 500 Euro bestehen, bei spürbarer Rufschädigung auch deutlich mehr. Wo das fehlte, gab es nichts. Im Fall 6 Ob 113/24x hatte ein Adressverlag Marketingeinstufungen über den Kläger errechnet; dass er sich darüber geärgert hätte, wurde nicht festgestellt. Er ging leer aus und musste der Gegenseite allein für das Revisionsverfahren 751,92 Euro an Kosten ersetzen.

So wird aus einem Verstoß ein Anspruch, der hält

Was ein Gericht sehen will, lässt sich in drei Fragen fassen. Die gute Nachricht vorweg: Die meisten Antworten kennen Sie bereits, sie müssen nur geordnet auf den Tisch.

• Was ist passiert? Der Verstoß muss feststehen. Oft hilft eine Auskunft nach Art. 15 DSGVO: Das Unternehmen muss Ihnen dann sagen, welche Daten es über Sie verarbeitet, woher sie stammen und an wen es sie weitergegeben hat. Manchmal hat auch schon eine Behörde oder ein Gericht den Verstoß festgestellt.
• Was hat es bei Ihnen ausgelöst? Ärger, Sorge, Verunsicherung oder das Gefühl, dass andere über Sie urteilen, ohne dass Sie davon wissen. Notieren Sie, wann Sie davon erfahren haben und wie Sie reagiert haben, und heben Sie E-Mails, Ablehnungen oder Rückfragen von Banken und Händlern auf.
• Hängt beides zusammen? Der Schaden muss aus genau diesem Verstoß folgen. Ärger über etwas ganz anderes zählt hier nicht.

Im CRIF-Fall fordert die Kanzlei die Auskunft mit Ihrer Vollmacht für Sie an; Ihre Notizen helfen ihr dann, Ihren Schaden darzulegen.

Eine Sorge können wir Ihnen gleich nehmen: Eine Auskunft zu verlangen, um zu klären, welche Daten wo gelandet sind, ist genau der Zweck von Art. 15 DSGVO. Missbräuchlich kann nach C-526/24 ein Antrag sein, der allein dazu dient, künstlich einen Anspruch zu erzeugen, und diese Absicht muss das Unternehmen beweisen.

Drei Jahre ab Kenntnis, und warum sich frühes Handeln lohnt

Für den Anspruch haben Sie grundsätzlich drei Jahre Zeit (§ 1489 ABGB, über § 29 Abs. 1 DSG). Die Uhr beginnt zu laufen, sobald Sie Schaden und Verursacher kennen oder ohne nennenswerte Mühe kennen könnten (6 Ob 86/25b). Wann das bei einem Datenschutzverstoß genau ist, hat der OGH für Art. 82 DSGVO aber noch nicht geklärt.

Eine Verbandsklage auf Unterlassung kann die Frist für zusammenhängende Ansprüche zwar hemmen (§ 619 Abs. 4 ZPO), wie weit das reicht, hängt aber davon ab, worum es in der jeweiligen Klage geht. Darauf sollten Sie sich also nicht verlassen.

Fünf Wege zum Ersatz, und was jeder Sie kostet

Ein Anspruch auf dem Papier ist noch kein Geld auf dem Konto. Für die Durchsetzung gibt es in Österreich mehrere Wege, und sie unterscheiden sich vor allem darin, wer das Kostenrisiko trägt.

Beschwerde bei der Datenschutzbehörde

Die Beschwerde ist der bekannteste Weg, für Geld aber der falsche. Die Datenschutzbehörde stellt Verstöße fest und kann dem Unternehmen Aufträge erteilen, Schadenersatz spricht sie nicht zu; dafür sind nach § 29 Abs. 2 DSG die Zivilgerichte zuständig. Einbringen müssen Sie die Beschwerde binnen eines Jahres ab Kenntnis, längstens drei Jahre nach dem Ereignis (§ 24 Abs. 4 DSG). Eine Feststellung der Behörde kann später als Beleg helfen, das Geld holt sie Ihnen nicht.

Selbst klagen

Für Schadenersatzklagen nach der DSGVO ist in erster Instanz immer das Landesgericht zuständig, auch bei kleinen Beträgen. Klagen können Sie an Ihrem Wohnort oder dort, wo das Unternehmen seinen Sitz oder eine Niederlassung hat (§ 29 Abs. 2 DSG). Vor dem Landesgericht gilt absolute Anwaltspflicht (§ 27 Abs. 1 ZPO), ohne Anwältin oder Anwalt geht es also nicht. Dazu kommt der Grundsatz, dass zahlt, wer verliert: Wer vollständig unterliegt, ersetzt der Gegenseite ihre Kosten (§ 41 ZPO).

Was das bei einer Forderung von 500 Euro bedeutet, zeigt unsere Überschlagsrechnung nach Rechtsanwaltstarif und Gerichtsgebührengesetz. Sie geht von einem schlanken Verfahren aus: Klage, Einspruch der Gegenseite, je ein Schriftsatz, eine Verhandlung von zwei Stunden, keine Zeugen, keine Berufung.

Bei einer Niederlage stehen also rund 1.530 Euro im Raum, etwa das Dreifache der Forderung. Das ist eine eigene Rechnung ohne Gewähr; jede weitere Verhandlung, jeder Zeuge und jede Berufung macht sie teurer. Mit einer reinen Geldforderung bis 5.000 Euro kommen Sie gar nicht bis zum Obersten Gerichtshof, die Revision ist dann jedenfalls unzulässig (§ 502 Abs. 2 ZPO). Wer allein klagt, setzt also viel Geld ein, um vergleichsweise wenig zu holen.

Rechtsschutzversicherung

Haben Sie eine Rechtsschutzversicherung, lohnt ein Blick in die Bedingungen. Ob Datenschutzansprüche gedeckt sind und ob ein Selbstbehalt anfällt, ist von Vertrag zu Vertrag verschieden. Holen Sie vor einer Klage eine schriftliche Deckungszusage ein; ohne sie tragen Sie das Risiko aus der Tabelle selbst.

Beitritt zu einer Verbandsklage auf Abhilfe

Seit Juli 2024 können anerkannte qualifizierte Einrichtungen die Ansprüche vieler Verbraucher in einer Verbandsklage auf Abhilfe bündeln. Wer beitritt, erklärt, denselben Anspruch nicht anderweitig geltend zu machen, und kann den Beitritt nicht zurücknehmen (§ 628 ZPO). Ein Beitritt und eine eigene Durchsetzung schließen einander also aus.

Prozessfinanzierung

Bei einer Prozessfinanzierung übernimmt ein Finanzierer die Kosten der Durchsetzung und das Risiko, im Erfolgsfall erhält er dafür einen vereinbarten Anteil am Erlös. Geht der Fall verloren, bleiben die Kosten bei ihm. Ihr Anspruch wird dabei einzeln verfolgt, mit einer Kanzlei an Ihrer Seite, und die 1.530 Euro aus der Rechnung oben müssen Sie nicht fürchten. Worauf es bei einem solchen Vertrag ankommt, erklärt unser Ratgeber zur Prozessfinanzierung.

Genau dieses Modell nutzen wir im CRIF-Fall, und genau dieses Risiko nehmen wir Ihnen damit ab: Eine Rechtsanwaltskanzlei vertritt Sie, die Koptimal GmbH streckt die Kosten vor und trägt das Risiko, und im Erfolgsfall erhält sie 42 Prozent des Nettoerlöses inklusive Umsatzsteuer. So läuft das für Sie ab.

Der CRIF-Fall: Hier machen wir 500 Euro für Sie geltend

Am greifbarsten wird all das bei der CRIF. Am 12. August 2026 hat der Oberste Gerichtshof in drei Verfahren entschieden (6 Ob 147/25y, 6 Ob 148/25w und 6 Ob 151/25m), dass die CRIF GmbH Name, Anschrift und Geburtsdatum, die ein Adressverlag für Marketingzwecke gesammelt hatte, nicht zur Beurteilung der Bonität verwenden darf. Die Kläger hatten dort nur Unterlassung verlangt, über Geld hat der OGH deshalb nicht entschieden. Was die Entscheidungen genau sagen, steht im Ratgeber zum CRIF-Urteil des OGH.

Den Geldanspruch regelt genau der Artikel, um den es auf dieser Seite geht. Betroffene können den immateriellen Schaden nach Art. 82 DSGVO selbst geltend machen, und genau hier setzen wir an: Wir machen für Sie 500 Euro geltend. Das entspricht der Größenordnung, die in der Berichterstattung genannt und von Verbraucherschützern gefordert wird, und dem Betrag, den der OGH in einem anderen Fall bestätigt hat (6 Ob 56/21k). Ob und in welcher Höhe gezahlt wird, entscheidet am Ende die CRIF in einem Vergleich oder das Gericht. Ihr Kostenrisiko dabei: null.

Wir sind bereits mittendrin: Seit September 2026 nehmen wir CRIF-Fälle auf, und die Rechtsanwaltskanzlei, mit der die Koptimal GmbH zusammenarbeitet, fordert für unsere Kunden laufend die Auskünfte bei der CRIF an. Die Auskunft zeigt, welche Daten über Sie gespeichert sind und woher sie stammen. Darauf baut die Kanzlei Ihren persönlichen Schadenersatzanspruch auf, also genau den Teil, über den der OGH in den Unterlassungsverfahren gar nicht zu entscheiden hatte. Die CRIF gibt an, Daten von Adressverlagen seit Herbst 2023 nicht mehr für die Bonität zu verwenden, es geht also um die Verarbeitung davor.

Im CRIF-Fall genügt Ihre Eintragung, alles Weitere übernehmen wir mit der Kanzlei

1. Eintragen und digital unterschreiben Sie tragen sich online ein, laden eine Ausweiskopie hoch und unterschreiben den Prozessfinanzierungsvertrag und die Vollmacht für die Kanzlei am Bildschirm. Das dauert rund zwei Minuten.
2. Die Kanzlei holt Ihre CRIF-Auskunft Mit Ihrer Vollmacht fordert sie die Auskunft bei der CRIF an und klärt, welche Daten über Sie gespeichert sind und woher sie stammen.
3. Ihr Anspruch wird geltend gemacht Sind Sie betroffen, fordert die Kanzlei die CRIF schriftlich zur Zahlung auf. Ziel ist eine Einigung ohne Gericht, wenn nötig wird geklagt.

Keine Vorabkosten, kein Kostenrisiko: Die Koptimal GmbH, die Prozessfinanzierung unserer Unternehmensgruppe, finanziert die Durchsetzung vor. Geht der Fall verloren, zahlen Sie nichts. Im Erfolgsfall werden aus dem Erlös zuerst die tatsächlich vorfinanzierten Fallkosten gedeckt. Vom Rest, dem Nettoerlös, gehen 58 Prozent an Sie und 42 Prozent inklusive Umsatzsteuer als Erfolgsbeteiligung an die Koptimal GmbH. Ein Rechenbeispiel ohne Zusage: Bei einem Nettoerlös von 500 Euro wären das 290 Euro für Sie und 210 Euro für die Koptimal GmbH.

Wie gesetzlich vorgesehen, ist binnen 14 Tagen nach der Eintragung ein Rücktritt ohne Angabe von Gründen möglich. Die rechtliche Prüfung und Vertretung übernimmt die Rechtsanwaltskanzlei, die Koptimal GmbH finanziert und organisiert. Rechnen Sie mit mehreren Monaten, je nachdem, ob sich die CRIF außergerichtlich einigt; ein Gerichtsverfahren kann länger dauern.

Ihre CRIF-Auskunft müssen Sie dafür nicht selbst anfordern, das erledigt die Kanzlei mit Ihrer Vollmacht. Wer vorher trotzdem selbst nachsehen möchte, findet im Ratgeber CRIF-Auskunft anfordern den Weg. Alles zu Ablauf, Unterlagen und Konditionen steht auf der Seite CRIF-Schadenersatz geltend machen. Wer lieber zuerst mit einem Menschen spricht, erreicht uns unter 0800 88 44 92. Und wer gleich loslegen will, kommt hier zur Eintragung für den CRIF-Fall, in rund zwei Minuten erledigt.