Wann zahlt der Arbeitgeber Schadensersatz an abgelehnte Bewerber?

Schadensersatz nach Art. 82 DSGVO ist für abgelehnte Bewerber zu einem eigenen Geschäftsmodell geworden. Das Muster ist immer dasselbe: Auf die Absage folgt binnen Tagen die Aufforderung, die Ablehnungsgründe mitzuteilen und unverzüglich vollständige Auskunft nach Art. 15 DSGVO zu erteilen. Wird die Auskunft nicht, zu spät oder unvollständig erteilt, folgt die Zahlungsklage. Der Europäische Gerichtshof hat diesen Weg im März 2026 ausdrücklich geöffnet (Urteil v. 19.3.2026 – C-526/24), das Bundesarbeitsgericht hält die Anforderungen an den Schaden dagegen bewusst hoch (Urteil v. 20.2.2025 – 8 AZR 61/24). Zwischen diesen beiden Entscheidungen entscheidet sich, ob die Forderung trägt.

Wie läuft die Masche nach einer Absage ab?

Sie setzt nicht auf das AGG, sondern auf den Datenschutz. Diskriminierende Stellenausschreibungen unter Verstoß gegen § 11 AGG sind in professionell geführten Verfahren selten geworden, und der Einwand des Rechtsmissbrauchs gegen Scheinbewerbungen ist etabliert – dazu unser Insight zum AGG-Hopping vor dem Arbeitsgericht Berlin. Die datenschutzrechtliche Flanke ist deutlich verlässlicher. Sie erfordert keinen Vortrag zu einem Merkmal aus § 1 AGG, keine Indizien und keine Benachteiligung. Es genügt, dass die Auskunft fehlerhaft war.

Ins Visier geraten dabei vor allem, aber nicht nur Arbeitgeber, bei denen ein Datentransfer stattfindet, bei denen die Bewerbung also von einem Dritten mitbearbeitet wird. Typische Konstellationen sind ein eingeschalteter Personalberater, eine Konzern-Servicegesellschaft, die Holding oder eine Stelle im Ausland. In genau diesen Fällen ist die Empfängerangabe nach Art. 15 Abs. 1 lit. c DSGVO fehleranfällig, und der Fehler ist für den Bewerber leicht nachweisbar, weil sich die Struktur eines Unternehmens von außen recherchieren lässt.

Kann ein Verstoß gegen das Auskunftsrecht Schadensersatz begründen?

Ja, das ist seit März 2026 geklärt. Der Anspruch aus Art. 82 Abs. 1 DSGVO hat drei Voraussetzungen: einen Verstoß gegen die DSGVO, einen Schaden und die Kausalität zwischen beiden. Das Verschulden wird nach Art. 82 Abs. 3 DSGVO vermutet. Bis in das Jahr 2026 war umstritten und höchstrichterlich nicht geklärt, ob ein Verstoß gegen Art. 15 Abs. 1 DSGVO überhaupt taugliche Grundlage eines solchen Anspruchs sein kann oder ob nur solche Schäden ersatzfähig sind, die dem Betroffenen aufgrund einer Datenverarbeitung entstanden sind.

Diese Frage hat der Europäische Gerichtshof beantwortet: Art. 82 Abs. 1 DSGVO ist dahin auszulegen, dass er der betroffenen Person einen Anspruch auf Ersatz des Schadens verleiht, der aus einer Verletzung des Auskunftsrechts nach Art. 15 Abs. 1 DSGVO entstanden ist. Auf eine Verarbeitung kommt es nicht an (Urteil v. 19.3.2026 – C-526/24). Damit ist der Verstoß gegen die Auskunftspflicht selbst der Anknüpfungspunkt, und die Verteidigung verlagert sich vollständig auf die Ebene des Schadens.

Der Verstoß selbst ist schnell erreicht. Nach Art. 15 Abs. 1 DSGVO kann der Betroffene zunächst Bestätigung darüber verlangen, ob personenbezogene Daten verarbeitet werden, und – wenn das der Fall ist – Auskunft über diese Daten und die in lit. a bis h genannten weiteren Informationen. In der Praxis scheitert es an drei Stellen: Die Auskunft wird gar nicht erteilt, die Monatsfrist des Art. 12 Abs. 3 Satz 1 DSGVO wird nicht eingehalten, oder die fristgerecht erteilte Auskunft ist unvollständig. Die Einzelheiten haben wir im Leitfaden zum Auskunftsanspruch abgelehnter Bewerber und für das laufende Arbeitsverhältnis im Beitrag zum Auskunftsanspruch nach Art. 15 DSGVO zusammengestellt.

Genügt eine verspätete Auskunft für einen immateriellen Schaden?

Nach dem Bundesarbeitsgericht nicht. Wer immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO verlangt, muss substanziiert darlegen und nachweisen, dass der Verstoß einen solchen Schaden verursacht hat. Anerkannt ist, dass bereits der auch nur kurzzeitige Verlust der Kontrolle über personenbezogene Daten ein immaterieller Schaden sein kann, sofern die betroffene Person den Nachweis erbringt, dass sie einen solchen Schaden tatsächlich erlitten hat. Ebenso kann die durch einen Verstoß ausgelöste Befürchtung, die eigenen Daten könnten von Dritten missbräuchlich verwendet werden, für sich genommen einen immateriellen Schaden darstellen.

Diese Öffnung hat aber eine harte Grenze. Das rein hypothetische Risiko einer missbräuchlichen Verwendung durch einen unbefugten Dritten genügt nicht, und das bloße Berufen auf eine Gefühlslage reicht ebenfalls nicht aus. Das Gefühl muss unter Berücksichtigung der Umstände des Einzelfalls als begründet angesehen werden können.

Genau darauf stützt das Bundesarbeitsgericht seine Entscheidung zur verspäteten Auskunft. Eine verspätete Erfüllung des Auskunftsanspruchs begründet für sich genommen noch keinen Kontrollverlust im Sinne der Gefahr einer missbräuchlichen Verwendung. Denn die verspätete Erfüllung löse geradezu zwangsläufig die Sorge eines Verstoßes gegen sonstige Verpflichtungen aus der DSGVO aus. Würde allein das Berufen auf solche abstrakten Befürchtungen für die Annahme eines Schadens ausreichen, führte jeder Verstoß gegen Art. 15 DSGVO zu einem immateriellen Schaden – und die eigenständige Schadensvoraussetzung des Art. 82 Abs. 1 DSGVO wäre gegenstandslos (Urteil v. 20.2.2025 – 8 AZR 61/24). Ob diese Linie vor dem Hintergrund der Entscheidung des Europäischen Gerichtshofs vom 19.3.2026 Bestand hat, ist noch nicht abschließend geklärt. Für die Verteidigung ist sie derzeit das stärkste Argument.

Wann nehmen die Arbeitsgerichte einen Kontrollverlust an?

Bei unvollständiger oder falscher Auskunft, insbesondere zu den Empfängern. Das Arbeitsgericht Düsseldorf hat eine unvollständige und teilweise falsche Auskunft für die Annahme eines immateriellen Schadens in Form eines Kontrollverlusts genügen lassen. Der Arbeitgeber hatte auf das Auskunftsverlangen nach einer Absage erklärt, die Daten seien ausschließlich innerhalb des Unternehmens an die zuständigen Entscheidungsträger und die Personalabteilung weitergegeben worden. Konfrontiert mit einer eigenen Recherche des Bewerbers räumte das Unternehmen dann ein, dass die Daten an Empfänger im Ausland, unter anderem an das Headquarter, weitergeleitet worden waren (Urteil v. 6.2.2025 – 12 Ca 3221/24). Eingeklagt waren dort 2.000 Euro, verbunden mit der Aufrechterhaltung der Auskunftsklage.

Ebenso angreifbar ist der Versuch, das Problem nachträglich durch Löschung zu beseitigen. Löscht das Unternehmen die Daten in Kenntnis des Auskunftsantrags, statt Auskunft zu erteilen, und gibt es keine nachvollziehbare Erklärung für die Missachtung des Auskunftsanspruchs ab, darf sich der Bewerber zu Recht Sorgen darüber machen, was das Unternehmen dazu veranlasst hat. Diese berechtigte Sorge kann wiederum einen Schaden in Form des Kontrollverlusts begründen (ArbG Düsseldorf, Urteil v. 4.12.2024 – 8 Ca 3409/24).

Für die Praxis ergibt sich daraus eine klare Rangfolge der Risiken. Eine vollständige und richtige Auskunft, die einige Tage zu spät kommt, ist nach der Linie des Bundesarbeitsgerichts kaum angreifbar. Eine pünktliche Auskunft, die Empfänger verschweigt, ist der teure Fehler. Und eine Löschung nach Eingang des Auskunftsverlangens ist der teuerste.

Welche Verteidigungsmöglichkeiten bleiben dem Unternehmen?

Wenige, und sie sind eng. Die Auskunftsverweigerung nach Art. 15 DSGVO ist an strenge Voraussetzungen geknüpft, die nur ausnahmsweise erfüllt sein werden. Ein offenkundig unbegründeter oder exzessiver Antrag kommt nach Art. 12 Abs. 5 lit. b DSGVO vor allem bei häufiger Wiederholung in Betracht, und die Beweislast dafür trägt nach Art. 12 Abs. 5 Satz 3 DSGVO das Unternehmen. Zulässig verweigert werden kann die Auskunft außerdem, soweit dadurch Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen überwiegender berechtigter Interessen eines Dritten, geheim gehalten werden müssen (§ 29 Abs. 1 Satz 2 BDSG). Eine solche Geheimhaltungsbedürftigkeit liegt bei Geschäftsgeheimnissen vor, bei den Ablehnungsgründen eines Bewerbungsverfahrens regelmäßig nicht.

Der Rechtsmissbrauchseinwand als Anwendungsfall der Exzessivität nach Art. 12 Abs. 5 DSGVO ist im Ergebnis meist ebenso wenig erfolgversprechend. Art. 15 Abs. 1 DSGVO setzt kein besonderes rechtliches Interesse voraus. Und selbst wenn der Bewerber es darauf anlegt, verantwortliche Stellen auf Auskunft in Anspruch zu nehmen, die Einhaltung der gesetzlichen Vorschriften zu überprüfen und im Fall der Nichteinhaltung weitere Rechte und gegebenenfalls einen Schadensersatzanspruch geltend zu machen, handelt es sich um Rechtsgebrauch und nicht um Rechtsmissbrauch (ArbG Düsseldorf, Urteil v. 6.2.2025 – 12 Ca 3221/24).

Etwas anderes gilt, wenn das Auskunftsersuchen den Regelungszweck des Art. 15 Abs. 1 DSGVO verfehlt, weil die Kenntnis der eigenen Daten für das verfolgte Ziel schlechthin unerheblich ist – etwa wenn das Ersuchen systematisch und ausschließlich darauf abzielt, einen Schadensersatzanspruch zu erzeugen. Darlegungs- und Beweislast trägt auch hier das Unternehmen. Ein objektiver Anhaltspunkt liegt darin, dass Schadensersatz bereits vor Ablauf der Monatsfrist des Art. 12 Abs. 3 Satz 1 DSGVO geltend gemacht wird. Wer diesen Weg gehen will, braucht eine lückenlose Dokumentation des Ablaufs. Zur Abwehrstrategie bei der parallelen AGG-Entschädigung siehe unseren Beitrag zur AGG-Entschädigung und ihrer Abwehr und den Insight dazu, wann der AGG-Hopping-Einwand scheitert.

Warum bleibt die Abwehr für den Arbeitgeber teuer?

Wegen § 12a ArbGG. Letztlich ist gar nicht entscheidend, ob die auf die DSGVO gestützte Schadensersatzklage materiell begründet ist. Denn auch wenn dem Arbeitgeber die Abwehr gelingt, bleibt er nach § 12a ArbGG auf seinen eigenen Kosten sitzen. Bei Forderungen im niedrigen vierstelligen Bereich ist es für ihn oft finanziell sinnvoller, rasch einen Vergleich zu schließen. Genau darauf spekulieren die Kläger, und genau deshalb sind die Forderungen so bemessen, dass der Vergleich billiger aussieht als der Prozess.

Das verschiebt die Entscheidung von der Rechtslage in die Betriebswirtschaft. Wer nur den Einzelfall betrachtet, zahlt. Wer die Zahl der Absagen im Jahr betrachtet, erkennt, dass ein einmal funktionierendes Muster wiederkommt und dass die Investition in ein belastbares Verfahren günstiger ist als eine Reihe von Vergleichen. Wie wir solche Verfahren führen und wann wir vom Vergleich abraten, beschreibt unsere Seite zur Prozessführung für Arbeitgeber.

Löst die sofortige Löschung der Bewerberdaten das Problem?

Nein, sie verlagert es nur in das AGG. Auf den ersten Blick liegt die Lösung nahe: Wer die Daten des abgelehnten Bewerbers unverzüglich löscht, schuldet auf ein Auskunftsverlangen nur noch eine pflichtgemäße Negativauskunft, also die Mitteilung, dass keine Daten mehr vorhanden sind (dazu OLG Dresden, Urteil v. 18.11.2025 – 4 U 543/25). Auch der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO spricht für eine zeitnahe Löschung, und die Fehleranfälligkeit der Auskunftserteilung sinkt praktisch auf null.

Von dem Postulat einer Einheit der Rechtsordnung hat sich der Gesetzgeber allerdings längst verabschiedet. Gerade weil das Risiko von AGG-Klagen erfolgloser Bewerber immer besteht, sind Personalabteilungen seit Inkrafttreten des AGG gut beraten, Bewerbungsprozesse zu dokumentieren und die Dokumentation jedenfalls so lange aufzubewahren, bis die Geltendmachungsfristen abgelaufen sind. Hinzu kommt ein praktischer Aspekt: Wer Bewerber, gegen die er sich einmal entschieden hat, bei künftigen Ausschreibungen vorab aussieben will, braucht dafür Daten.

Entscheidend ist aber die Beweislast. Nach § 22 AGG obliegt dem Arbeitgeber der Beweis, dass kein Verstoß gegen das Benachteiligungsverbot vorlag, wenn der Bewerber Indizien beweist, die eine Benachteiligung wegen eines in § 1 AGG genannten Grundes vermuten lassen. Die Nicht-Mitteilung der Ablehnungsgründe kann gerade ein solches Indiz sein. Nach der Rechtsprechung des Europäischen Gerichtshofs kann bereits die Verweigerung jeglicher Information über das Auswahlverfahren einen Gesichtspunkt darstellen, der im Rahmen des Nachweises diskriminierungsindizierender Tatsachen herangezogen wird (Urteil v. 19.4.2012 – C-415/10). Sofortige Löschung und Negativauskunft erhöhen das AGG-Risiko damit sogar. Wie Gerichte solche Indizien gewichten, zeigen die Insights zur Beweislast für die Stellenanzeige und zur AGG-Klage eines schwerbehinderten Bewerbers.

Was Arbeitgeber jetzt tun sollten

Den Löschzeitpunkt vorab festlegen, statt ihn im Konfliktfall zu improvisieren. Eine Patentlösung gibt es nicht. Der Arbeitgeber muss im Einzelfall entscheiden, wie lange er Bewerbungsunterlagen, Auswahlvermerke und die interne Kommunikation aus dem Bewerbungsverfahren benötigt und ab welchem Zeitpunkt die Speicherung mehr Risiken schafft als sie absichert. Sicher ist nur, dass diese Abwägung früh getroffen werden muss. Wer erst nach Eingang eines Auskunftsverlangens zu rekonstruieren beginnt, welche Bewerberdaten wo verarbeitet wurden und an wen sie geflossen sind, hat den relevanten Entscheidungszeitpunkt bereits verpasst.

Vier Punkte tragen das in der Praxis.

• Empfängerverzeichnis vorhalten. Vor dem ersten Auskunftsverlangen dokumentieren, welche internen Stellen, Dienstleister, Konzerngesellschaften und Drittlandsempfänger Bewerberdaten erhalten. Das ist der Punkt, an dem die Düsseldorfer Entscheidung gekippt ist.
• Eingangskanal definieren. Auskunftsverlangen dürfen nicht im Recruiting-Postfach liegen bleiben. Die Monatsfrist läuft ab Eingang beim Unternehmen, nicht ab interner Kenntnisnahme.
• Auswahlkriterien anforderungsbezogen dokumentieren. Objektive, überprüfbare Kriterien lassen sich herausgeben, ohne ein AGG-Indiz zu erzeugen. Frei formulierte subjektive Eindrücke in der Bewerberakte sind später auskunftspflichtig. Die Grundlagen dazu im Überblick zum AGG im Bewerbungsverfahren und in den Hinweisen zur diskriminierungsfreien Stellenanzeige.
• Löschlauf technisch auslösen. Den Löschzeitpunkt an das Absagedatum knüpfen und automatisiert ausführen, damit er nicht als Reaktion auf ein Auskunftsverlangen erscheint.

Unternehmen werden künftig mehr denn je zwischen datenschutzrechtlicher Transparenzpflicht und arbeitsrechtlicher Verteidigungsfähigkeit abwägen müssen. Der Aufbau dieser Verfahren ist Teil unserer Beratung zum Beschäftigtendatenschutz.

Häufige Fragen zum Schadensersatz nach einer Bewerberabsage

Als Anwalt für Arbeitsrecht in Köln vertreten wir als Kanzlei für Arbeitsrecht Arbeitgeber und Personalabteilungen gegen Schadensersatzklagen abgelehnter Bewerber nach Art. 82 DSGVO und gegen parallele Entschädigungsforderungen nach dem AGG. Als Anwalt für Arbeitgeber richten wir dabei Bewerbungsverfahren, Empfängerverzeichnisse und Löschkonzepte so aus, dass die Auskunft erteilt werden kann, ohne die Verteidigung im AGG-Prozess zu verlieren – von der Beratung zum Beschäftigtendatenschutz bis zur Prozessführung.

Sie haben nach einer Absage ein Auskunftsverlangen oder eine Zahlungsaufforderung erhalten? Nehmen Sie Kontakt mit uns auf – die Erstberatung ist für Sie kostenfrei.