BGH-Urteil zum Deezer Datenleck: Stärkung der Rechte von Nutzern nach DSGVO

Mit dem aktuellen BGH-Urteil zum Deezer-Datenleck (Az. VI ZR 396/24, Urteil vom 11.11.2025) konkretisiert der Bundesgerichtshof erneut die Rechte von Betroffenen nach der DSGVO und stärkt die Rechtsposition von Verbraucher: innen in Fällen von Datenlecks. Im vorliegenden Fall ging es um das Datenleck beim Musikstreamingdienst Deezer: Millionen Datensätze gelangten 2022 ins Darknet, darunter auch die personenbezogenen Daten des klagenden Nutzers.

Worum ging es im BGH-Urteil zum Deezer Datenleck?

Das BGH-Urteil verschärft auch die Pflichten von Unternehmen, die externe IT-Dienstleister einsetzen. So betrieb der Musikstreamingdienst Deezer seinen Dienst unter Einsatz eines externen Auftragsverarbeiters. Der Vertrag mit diesem endete am 1. Dezember 2019. Der Dienstleister kündigte in einer E-Mail an, die „Website und alle Daten“ am Folgetag zu löschen. Deezer holte jedoch keine verbindliche Bestätigung ein, dass wirklich sämtliche personenbezogenen Daten – inklusive Test- und Kopienbestände – gelöscht wurden.

Tatsächlich wurden die Daten nicht gelöscht, sondern von Mitarbeitenden des Dienstleisters in eine Testumgebung verschoben. Von dort wurden sie entweder gehackt oder unbefugt weitergegeben und schließlich ab November 2022 im Darknet zum Verkauf angeboten. Betroffen waren unter anderem Name, Geschlecht, E-Mail-Adresse, Sprache und Registrierungsdatum.

In dem nun vor dem BGH verhandelten Fall verlangte der Kläger immateriellen Schadensersatz gemäß Art. 82 DSGVO sowie die Feststellung, dass Deezer ihm zukünftige materielle Schäden ersetzen muss. Das Landgericht und das Oberlandesgericht (OLG) Dresden wiesen die Klage ab, doch der BGH hat diese Entscheidung nun teilweise aufgehoben.

Zentrale Kernaussagen des BGH zum Deezer Datenleck

Das BGH Urteil Deezer Datenleck enthält mehrere Leitsätze, die sowohl für Betroffene des Deezer Datenlecks als auch anderer Datenlecks hochrelevant sind:

1. Verantwortlicher bleibt verantwortlich – auch nach Auftragsende
   Der BGH stellt klar: Der Verantwortliche (in diesem Fall Deezer) bleibt „Herr der Datenverarbeitung“. Auch nach Beendigung einer Auftragsverarbeitung muss er sicherstellen, dass beim Dienstleister keine personenbezogenen Daten mehr verbleiben. Es genügt nicht, einen Vertrag nach Art. 28 DSGVO zu schließen und sich auf die Löschungsankündigung des Dienstleisters zu verlassen. Deezer hätte sich eine ausdrückliche und inhaltlich ausreichende Bestätigung über die vollständige Löschung aller Daten und Kopien innerhalb der vertraglich vorgesehenen Frist einholen müssen. Dies ist unterblieben.
2. Immaterieller Schaden: Verkauf im Darknet reicht aus
   Der BGH stellt ausdrücklich fest:
   • Bleiben Daten beim Auftragsverarbeiter, werden dort abgegriffen und im Darknet zum Verkauf angeboten, liegt ein immaterieller Schaden im Sinne von Art. 82 Abs. 1 DSGVO vor.
   • Dieser Schaden wird nicht dadurch ausgeschlossen, dass dieselben Daten womöglich schon früher in einem anderen Leak betroffen waren. Jeder neue Kontrollverlust steigert das Risiko und ist eigenständig schadensrelevant.
3. Angst vor Missbrauch kann Schadensersatz begründen
   Im Kontext des „BGH-Urteils Deezer Datenleck“ ist Folgendes wichtig: Der BGH folgt der Linie des EuGH. Die begründete Befürchtung eines Betroffenen, dass seine Daten missbräuchlich verwendet werden könnten (z. B. für Spam, Phishing oder Identitätsdiebstahl), kann für sich genommen einen immateriellen Schaden darstellen – sofern diese Angst und ihre negativen Folgen plausibel dargelegt werden. Eine „Bagatellgrenze“ oder Erheblichkeitsschwelle lehnt der BGH – im Einklang mit dem EuGH – klar ab. Gerichte dürfen eine Klage also nicht mit der Begründung ablehnen, es sei „alltäglicher Ärger im Internet“.
4. Feststellungsantrag auf künftige Schäden zulässig
   Der BGH rügt außerdem, dass das OLG das Feststellungsinteresse verneint hat. Angesichts der Veröffentlichung der Daten im Darknet besteht durchaus die Möglichkeit künftiger materieller Schäden (z. B. Betrugsfälle). Diese Möglichkeit genügt, um die Feststellungsklage zu rechtfertigen.

Was bedeutet das BGH Urteil Deezer Datenleck für Betroffene?

Das BGH Urteil Deezer Datenleck stärkt insgesamt die Rechtsposition von Nutzerinnen und Verbraucherinnen. Bei Datenlecks und Darknet-Veröffentlichungen steigen die Chancen, immateriellen Schadensersatz durchzusetzen. Dabei kann schon der Verlust der Kontrolle über personenbezogene Daten, der Verkauf im Darknet sowie die begründete Angst vor Missbrauch einen Schaden begründen.

Das BGH-Urteil ist ein wichtiges Argument in laufenden und künftigen Verfahren rund um das Deezer Datenleck und andere Vorfälle. Es zeigt, dass Betroffene mit ihren Ansprüchen alles andere als chancenlos sind.

Kostenfreie Ersteinschätzung für Betroffene

Im Rahmen unserer kostenfreien Prüfung senden wir Ihnen eine schriftliche Einschätzung Ihrer Erfolgschancen auf Entschädigung. Wir vertreten rechtsschutzversicherte Verbraucher*innen und setzen ihren Anspruch auf Entschädigung durch. Neben der Geltendmachung von Schadensersatzansprüchen sichern wir Sie über einen sogenannten Feststellungsantrag für mögliche künftige Schäden ab.

Jetzt kostenfreie Einschätzung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711-9308110 oder schreiben Sie uns Ihre Fragen über unser Kontaktformular.