OLG Frankfurt: Schadensersatzpflicht nach Deezer-Datenleck

In einem von unserer Kanzlei vertretenen Fall hat das Oberlandesgericht (OLG) Frankfurt am Main in Sachen „Deezer-Datenleck” unserem Mandanten immateriellen Schadensersatz in Höhe von 100 Euro nebst Zinsen zugesprochen und zugleich die Verpflichtung der Deezer S.A. festgestellt, sämtliche aus dem Datenschutzvorfall künftig entstehenden materiellen Schäden zu ersetzen (Urteil vom 24.04.2026, Az. 6 U 106/25). Das Urteil ist rechtskräftig.

Datensätze von rund 229 Millionen Konten im Darknet

Im November 2022 wurden im Internet Datensätze mit personenbezogenen Daten von rund 230 Millionen Deezer-Benutzerkonten veröffentlicht. Hintergrund war eine schwerwiegende Datenpanne bei einem ehemaligen Auftragsverarbeiter. In der Folge gelangten die Datensätze durch Hacking oder die Weitergabe durch Mitarbeiter in das Darknet und wurden dort zum Verkauf angeboten. Auch die E-Mail-Adresse unseres Mandanten war einer Recherche bei haveibeenpwned.com zufolge von dem Vorfall betroffen.

OLG Frankfurt: Schadensersatzpflicht nach Deezer-Datenleck wegen DSGVO-Verstößen

Das OLG Frankfurt hat eindeutig festgestellt, dass die Deezer S.A. gegen Art. 5 Abs. 2 i. V. m. Abs. 1 lit. c, e und f sowie Art. 32 Abs. 1 DSGVO verletzt hat. Auch und gerade bei Beendigung einer Auftragsverarbeitung bleibt der Verantwortliche „Herr der Verarbeitung” und hat sicherzustellen, dass beim Auftragsverarbeiter tatsächlich keine personenbezogenen Daten verbleiben.

Deezer hat sich jedoch darauf beschränkt, die bloße Ankündigung des Auftragsverarbeiters entgegenzunehmen, er werde die „Site” und alle Daten löschen. Dies genügt nach Auffassung des Senats jedoch nicht, da diese angekündigte Tätigkeit nicht der vertraglich geschuldeten und datenschutzrechtlich geforderten umfassenden Löschung sämtlicher Datenkopien entsprach. Eine zeitnahe schriftliche Bestätigung der vollständigen Löschung blieb aus. Die im Februar 2023 nachgeholte Bestätigung kam offensichtlich zu spät, um den Vorfall zu verhindern.

Kontrollverlust und begründete Befürchtung als immaterieller Schaden

Das OLG bestätigt einmal mehr die Linie des EuGH und des BGH. Bereits der – selbst kurzzeitige – Kontrollverlust über personenbezogene Daten stellt einen ersatzfähigen immateriellen Schaden dar, wenn es nachfolgend zur missbräuchlichen Verwendung – hier durch Veröffentlichung im Darknet – kommt. Hinzu kam beim Mandanten die plausible und überwiegend wahrscheinliche Befürchtung weiterer Missbräuche (z. B. durch Spam und Betrugsversuche) sowie die damit verbundenen negativen Gefühle in Form von Sorgen und Ärger.

Auch die Feststellung der Ersatzpflicht für künftige materielle Schäden ist von praktischer Bedeutung. Solange die im Darknet veröffentlichte E-Mail-Adresse zugänglich ist, besteht nicht nur eine theoretische Möglichkeit für künftige Schäden durch Phishing-Angriffe oder Identitätsmissbrauch. Durch die Feststellung ist der Mandant für solche Folgen abgesichert, ohne den genauen Schaden bereits jetzt beziffern zu müssen.

Warum „nur“ 100 Euro? – Eine Besonderheit des Einzelfalls

Auf den ersten Blick erscheint der zugesprochene Betrag von 100 Euro moderat. Hintergrund ist jedoch eine Besonderheit des konkreten Einzelfalls, die in vergleichbaren Verfahren in der Regel nicht vorliegt.

Die E-Mail-Adresse des Mandanten war bereits vor dem streitgegenständlichen Deezer-Vorfall von neun weiteren Datenschutzvorfällen betroffen und danach mindestens viermal Teil von Datenlecks.

Da der Schadensersatz nach Art. 82 DSGVO nach der Rechtsprechung des BGH den konkret erlittenen Schaden vollständig ausgleichen, aber nicht überschreiten soll und keine Abschreckungs- oder Straffunktion hat, wirkt sich diese Vorbelastung mindernd auf die Schadenshöhe aus. Zwar intensiviert jeder zusätzliche Vorfall den Kontrollverlust, doch ist der durch den einzelnen Vorfall verursachte zusätzliche Schaden kleiner zu bemessen.

Für viele andere Betroffene des Deezer-Datenlecks gilt das jedoch nicht. Wer – anders als unser Mandant – nicht von zahlreichen weiteren Datenpannen betroffen ist, kann einen höheren Schadensersatzbetrag erwarten.

Sie sind vom Deezer-Datenleck betroffen?

Wenn Sie Kunde von Deezer waren und bei einer Recherche festgestellt haben, dass Ihre E-Mail-Adresse von dem Vorfall im November 2022 betroffen ist, prüfen wir gerne Ihre Ansprüche gemäß Art. 82 DSGVO. Neben der Geltendmachung von Schadensersatzansprüchen sichern wir Sie mit einem Feststellungsantrag für mögliche zukünftige Schäden ab. Darüber hinaus kümmern wir uns um die Deckungszusage Ihrer Rechtsschutzversicherung und übernehmen im weiteren Verlauf die gesamte Korrespondenz mit der Versicherung.

Unsere Kanzlei berät und vertritt Verbraucher:innen seit über 30 Jahren bundesweit. Als eine der größten Kanzleien für Anleger- und Verbraucherschutz verfügen wir über umfassende Erfahrung im außergerichtlichen und gerichtlichen Vorgehen.

Jetzt unverbindliche & kostenfreie Prüfung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711-9308110 oder schreiben Sie uns Ihre Fragen über unser Kontaktformular.