BGH Urteil vom 23.06.2026 – VI ZR 97/22

Auf die Revisionen des Klägers und der Beklagten wird das Urteil des 13. Zivilsenats des Oberlandesgerichts Frankfurt am Main mit Sitz in Darmstadt vom 2. März 2022 aufgehoben.

Auf die Berufung der Beklagten wird das Urteil des Landgerichts Darmstadt - 13. Zivilkammer - vom 26. Mai 2020 abgeändert, soweit darin dem Unterlassungsbegehren des Klägers stattgegeben worden ist. Insoweit wird die Klage abgewiesen.

Im Übrigen wird die Sache zur neuen Verhandlung und Entscheidung, auch über die Kosten des Revisionsverfahrens, an das Berufungsgericht zurückverwiesen.

Von Rechts wegen

Der Kläger nimmt die Beklagte wegen der Weitergabe personenbezogener Daten auf Unterlassung und Ersatz immateriellen Schadens in Anspruch.

Der Kläger befand sich bei der beklagten Privatbank in einem Bewerbungsprozess, der über das Online-Portal Xing stattfand. Im Zuge dessen versandte eine Mitarbeiterin der Beklagten über den Messenger-Dienst des Portals am 23. Oktober 2018 eine nur für den Kläger bestimmte Nachricht auch an eine dritte, nicht am Bewerbungsprozess beteiligte Person. Die Nachricht hatte den folgenden Inhalt:

"Lieber Herr K[Nachname des Klägers], ich hoffe es geht Ihnen gut! Unser Leiter - Herr R[...] - findet ihr Händler Profil sehr interessant. Jedoch können wir Ihre Gehaltsvorstellungen nicht erfüllen. Er kann 80k + variable Vergütung anbieten. Wäre das unter diesen Gesichtspunkten weiterhin für Sie interessant? Ich freue mich von Ihnen zu hören und wünsche Ihnen einen guten Start in den Dienstag. Viele Grüße, I[...] J[...]"

Der Dritte, der mit dem Kläger vor einiger Zeit in derselben Holding gearbeitet hatte und ihn deshalb kannte, leitete die Nachricht an den Kläger weiter und fragte, ob es sich um eine Nachricht für den Kläger handele und ob dieser auf Stellensuche sei.

Nachdem die Beklagte dem Kläger mitgeteilt hatte, dass er für das Bewerbungsverfahren nicht weiter berücksichtigt werden würde, rügte dieser die Versendung der Nachricht vom 23. Oktober 2018 an den Dritten. Mit anwaltlichem Schreiben vom 25. Februar 2019 forderte der Kläger die Beklagte zur Abgabe einer strafbewehrten Unterlassungserklärung, Auskunft über die Datenverarbeitung, Leistung eines Schadensersatzes sowie Erstattung von Rechtsverfolgungskosten auf. Die Beklagte gab daraufhin eine - auf die erneute Verbreitung der Nachricht vom 23. Oktober 2018 im Wortlaut bezogene - strafbewehrte Unterlassungserklärung ab und wies die Ansprüche im Übrigen zurück.

Der Kläger macht geltend, sein - immaterieller - Schaden liege nicht im abstrakten Kontrollverlust über die offenbarten Daten, sondern darin, dass nunmehr mindestens eine weitere Person, die den Kläger und potentielle wie ehemalige Arbeitgeber kenne, über Umstände Kenntnis habe, die der Diskretion unterlägen. Es sei zu befürchten, dass der in der gleichen Branche tätige Dritte die in der Nachricht enthaltenen Daten weitergegeben habe oder sich durch ihre Kenntnis als Konkurrent auf etwaige Stellen im Bewerbungsprozess einen Vorteil habe verschaffen können. Zudem empfinde er das "Unterliegen" in den Gehaltsverhandlungen als Schmach, die er nicht an Dritte - vor allem nicht an potentielle Konkurrenten - weitergegeben hätte. Der Kläger hat beantragt, die Beklagte zu verurteilen, es künftig zu unterlassen, personenbezogene Daten über den Kläger, die im Zusammenhang mit seiner Bewerbung stehen, zu verarbeiten/verarbeiten zu lassen, wenn dies geschieht wie in der Nachricht über das Portal Xing an Herrn F. W. am 23. Oktober 2018, und an den Kläger immateriellen Schadensersatz von mindestens 2.500 € nebst Zinsen sowie vorgerichtliche Rechtsanwaltskosten nebst Zinsen zu zahlen.

Das Landgericht hat die Beklagte antragsgemäß zur Unterlassung sowie zur Zahlung eines Betrages in Höhe von 1.000 € nebst Zinsen und zum Ersatz vorgerichtlicher Rechtsanwaltskosten nebst Zinsen verurteilt. Im Übrigen hat es die Klage abgewiesen. Auf die Berufung der Beklagten hat das Oberlandesgericht das Urteil des Landgerichts hinsichtlich des geltend gemachten Anspruchs auf immateriellen Schadensersatz abgeändert und die Klage insoweit unter Zurückweisung der Berufung im Übrigen abgewiesen. Die gegen die Höhe der zuerkannten Entschädigung gerichtete Anschlussberufung des Klägers hat es zurückgewiesen. Dagegen wendet sich der Kläger mit seiner vom Berufungsgericht zugelassenen Revision, mit der er seine Ansprüche in vollem Umfang weiterverfolgt. Die Beklagte begehrt mit ihrer Revision - hilfsweise im Wege der Anschlussrevision - die vollständige Abweisung der Klage.

Mit Beschluss vom 26. September 2023 (VI ZR 97/22, VersR 2024, 582) hat der Senat das Verfahren ausgesetzt und dem Gerichtshof der Europäischen Union (im Folgenden: Gerichtshof) Fragen zur Auslegung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, DSGVO, ABl. EU L 119 vom 4. Mai 2016, S. 1) zur Vorabentscheidung vorgelegt. Der Gerichtshof hat über die Vorlage mit Urteil vom 4. September 2025 (Rechtssache C-655/23, NJW 2025, 3137) entschieden.

I.

Das Berufungsgericht hat zur Begründung seiner unter anderem in WRP 2022, 628 veröffentlichten Entscheidung ausgeführt, dem Kläger stehe gegen die Beklagte aus Art. 17 Abs. 1 DSGVO ein Anspruch auf Unterlassung der Verarbeitung seiner personenbezogenen Daten zu, sofern diese in der Form erfolge wie mit der streitgegenständlichen Nachricht. Durch die Übermittlung der Nachricht habe die Beklagte personenbezogene Daten des Klägers - nämlich dessen Nachnamen, sein der Anrede zu entnehmendes Geschlecht, die Tatsache eines laufenden Bewerbungsprozesses bei der Beklagten sowie dessen Gehaltsvorstellung - einem Dritten offenbart. Sofern auf der Plattform Xing mehrere Personen den Nachnamen des Klägers trügen, stehe dies der Identifizierbarkeit des Klägers nicht entgegen, da sich nicht alle zur Identifizierung erforderlichen Informationen in den Händen einer einzigen Person befinden müssten. Indem die Beklagte die Daten im Rahmen des Bewerbungsverfahrens erhebe, erfasse, ordne, speichere und gegenüber Dritten offenlege, verarbeite sie diese Daten. Auch die erforderliche Wiederholungs- bzw. Erstbegehungsgefahr sei gegeben. Solange die Beklagte keine hinreichenden Maßnahmen ergreife, um unbeabsichtigte Fehler der streitgegenständlichen Art mit der notwendigen Sicherheit künftig zu vermeiden, bestehe die Gefahr entsprechender Datenschutzverstöße. Die abgegebene Unterlassungserklärung beschränke sich auf den genauen Wortlaut der Nachricht und schütze nicht ausreichend vor neuen Verletzungshandlungen. Die Beklagte vertrete zudem weiterhin die Auffassung, dass es sich bei dem streitgegenständlichen Vorgang nicht um einen Datenschutzverstoß gehandelt habe.

Hingegen stehe dem Kläger kein Anspruch auf Schadensersatz aus Art. 82 DSGVO zu, da es jedenfalls an der Darlegung des Eintritts eines Schadens bei dem Kläger fehle. Zwar liege ein Verstoß gegen die Datenschutz-Grundverordnung durch die Übermittlung personenbezogener Daten an einen unbeteiligten Dritten sowie zusätzlich ein Verstoß gegen Art. 34 Abs. 1 DSGVO vor. Über den festgestellten Verstoß hinaus sei Voraussetzung für eine Entschädigung in Geld jedoch der Nachweis eines konkreten - auch immateriellen - Schadens, wozu auch Ängste, Stress sowie Komfort- und Zeiteinbußen zählten. Einen solchen habe der Kläger nicht dargetan. Sein Vortrag erschöpfe sich in der Darlegung eines Datenschutzverstoßes. Selbst bei Unterstellung einer "Schmach" sei diese nicht als immaterieller Schaden zu bewerten, denn der Kläger habe schon nicht mitgeteilt, welche Größenordnung des Gehaltsrahmens er angestrebt habe und ob die angebotene Summe mit einer Diskreditierung verbunden gewesen sei.

Schließlich habe der Kläger einen Anspruch auf Erstattung vorgerichtlicher Rechtsanwaltskosten aus dem Gegenstandswert des berechtigt geltend gemachten Unterlassungsanspruchs.

II.

Die zulässige Revision des Klägers ist begründet. Entgegen der Beurteilung des Berufungsgerichts steht dem Kläger gegen die Beklagte ein Schadensersatzanspruch gemäß Art. 82 Abs. 1 DSGVO dem Grunde nach zu. Nach dieser Vorschrift hat jede Person, der wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Diese Voraussetzungen sind im Streitfall erfüllt.

1. Der zeitliche (Art. 99 Abs. 2 DSGVO) und räumliche (Art. 3 Abs. 1 DSGVO) Anwendungsbereich der Datenschutz-Grundverordnung ist eröffnet.

2. Die Verordnung ist auch sachlich anwendbar (Art. 2 Abs. 1 DSGVO). Die angegriffene Nachricht enthielt durch die Angabe des Nachnamens des Klägers, seines der Anrede zu entnehmenden Geschlechts, der Tatsache des laufenden Bewerbungsverfahrens sowie der Haltung der Beklagten zur Bewerbung des Klägers und seiner - hinsichtlich ihrer Größenordnung mittelbar offen gelegten - Gehaltsvorstellung personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO. Diese Angaben bezogen sich auf eine von der Beklagten (als für die Datenverarbeitung Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO), der Kontaktdaten und Lebenslauf des Klägers vorlagen, identifizierte natürliche Person. Die Informationen machten in ihrer Gesamtschau - entgegen der Ansicht der Beklagten - den Kläger auch für dritte Personen als bestimmungsgemäßen Empfänger der Nachricht identifizierbar, jedenfalls soweit diesen der Kläger und dessen beruflicher Werdegang bekannt war. Dafür spricht neben dem Umstand, dass die Nachricht schon durch die Namensnennung und Bezeichnung des Geschlechts des Klägers mehrere typische Zuordnungsmerkmale enthielt (vgl. Art. 4 Nr. 1 DSGVO), auch die Tatsache, dass die am Bewerbungsprozess nicht beteiligte Person, die mit dem Kläger in derselben Holding gearbeitet hatte und ihn deshalb kannte, nach Empfang der streitgegenständlichen Nachricht in der Lage war, den Kläger gezielt auf seine Bewerbung anzusprechen. Der Umstand, dass zur Identifizierung der betreffenden Person gegebenenfalls zusätzliche Informationen erforderlich sind, schließt nicht aus, die fraglichen Daten als personenbezogen zu qualifizieren (vgl. EuGH, Urteil vom 7. März 2024 - C-479/22, K&R 2024, 333, Rn. 45, 47-49, 55, 60 mwN). Dem steht vorliegend auch nicht entgegen, dass die Kontaktaufnahme durch den Dritten im Wege einer Rückfrage erfolgte. Die betroffene Person ist nicht verpflichtet, den Nachweis zu erbringen, dass sie tatsächlich identifiziert worden ist (vgl. EuGH, Urteil vom 7. März 2024 - C-479/22, aaO Rn. 61).

Die Versendung der Nachricht durch eine Mitarbeiterin der Beklagten mittels des Messenger-Dienstes eines Online-Portals an einen Dritten stellt eine (teilweise) automatisierte Verarbeitung der personenbezogenen Daten in Form der in Art. 4 Nr. 2 DSGVO beispielhaft genannten Offenlegung durch Übermittlung dar (vgl. zum einhelligen - weiten - Verständnis des Begriffs der automatisierten Verarbeitung im Sinne des Art. 2 Abs. 1 DSGVO etwa Bäcker in BeckOK Datenschutzrecht, Stand 1. August 2023, Art. 2 DSGVO Rn. 2; Zerdick in Ehmann/Selmayr, DSGVO, 3. Aufl., Art. 2 Rn. 3; Kühling/Raab in Kühling/Buchner, DSGVO BDSG, 4. Aufl., Art. 2 DSGVO Rn. 15; Ernst in Paal/Pauly, DSGVO BDSG, 4. Aufl., Art. 2 DSGVO Rn. 5).

3. Die Beklagte hat gegen Bestimmungen der Datenschutz-Grundverordnung verstoßen. Das Berufungsgericht hat zutreffend erkannt, dass die angegriffene Verarbeitung der personenbezogenen Daten des Klägers durch die Beklagte gemäß Art. 6 Abs. 1 DSGVO unrechtmäßig, insbesondere nicht durch eine Einwilligung des Klägers gedeckt war. Die Beklagte macht auch nicht geltend, dass die Verarbeitung nach dieser Vorschrift rechtmäßig gewesen wäre. Ob die Beklagte daneben auch - wie vom Berufungsgericht angenommen - gegen Art. 34 DSGVO verstoßen hat, weil sie den Kläger nicht unverzüglich von der unrechtmäßigen Datenübermittlung benachrichtigt hat, kann dahinstehen. Denn der Kläger macht nicht geltend, dass er wegen der unterbliebenen bzw. verspäteten Benachrichtigung einen immateriellen Schaden erlitten hätte. Nachdem der Kläger noch am Tag der Übermittlung der Nachricht an den Dritten von diesem über den Vorgang in Kenntnis gesetzt wurde, wie sich aus dem vom Berufungsgericht in Bezug genommenen Chatverlauf ergibt, bestehen dafür auch keine Anhaltspunkte.

4. Entgegen der Beurteilung des Berufungsgerichts ist auch das Vorliegen eines durch den Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung verursachten immateriellen Schadens im Sinne von Art. 82 Abs. 1 DSGVO zu bejahen.

a) Der Begriff des "immateriellen Schadens" ist in Ermangelung eines Verweises in Art. 82 Abs. 1 DSGVO auf das innerstaatliche Recht der Mitgliedstaaten im Sinne dieser Bestimmung autonom unionsrechtlich zu definieren (stRspr., vgl. nur EuGH, Urteile vom 19. März 2026 - C-526/24, WRP 2026, 596 Rn. 57; vom 4. September 2025 - C-655/23, NJW 2025, 3137 Rn. 55; Senatsurteile vom 11. November 2025 - VI ZR 396/24, GRUR 2026, 95 Rn. 25; vom 18. November 2024 - VI ZR 10/24, BGHZ 242, 180 Rn. 28; jeweils mwN; BGH, Urteil vom 18. Dezember 2025 - I ZR 97/25, NJW 2026, 845 Rn. 56). Dabei soll nach Erwägungsgrund 146 Satz 3 DSGVO der Begriff des Schadens weit ausgelegt werden, in einer Art und Weise, die den Zielen dieser Verordnung in vollem Umfang entspricht. Der bloße Verstoß gegen die Bestimmungen der Datenschutz-Grundverordnung reicht nach der Rechtsprechung des Gerichtshofs jedoch nicht aus, um einen Schadensersatzanspruch zu begründen, vielmehr ist darüber hinaus - im Sinne einer eigenständigen Anspruchsvoraussetzung - der Eintritt eines Schadens (durch diesen Verstoß) erforderlich (stRspr., vgl. EuGH, Urteile vom 19. März 2026 - C-526/24, WRP 2026, 596 Rn. 59 f.; vom 4. September 2025 - C-655/23, NJW 2025, 3137 Rn. 56; Senatsurteile vom 11. November 2025 - VI ZR 396/24, GRUR 2026, 95 Rn. 25; vom 18. November 2024 - VI ZR 10/24, BGHZ 242, 180 Rn. 28; jeweils mwN; BGH, Urteil vom 18. Dezember 2025 - I ZR 97/25, NJW 2026, 845 Rn. 56).

Weiter hat der Gerichtshof ausgeführt, dass Art. 82 Abs. 1 DSGVO einer nationalen Regelung oder Praxis entgegensteht, die den Ersatz eines immateriellen Schadens im Sinne dieser Bestimmung davon abhängig macht, dass der der betroffenen Person entstandene Schaden einen bestimmten Grad an Schwere oder Erheblichkeit erreicht hat (vgl. EuGH, Urteile vom 19. März 2026 - C-526/24, WRP 2026, 596 Rn. 62; vom 4. September 2025 - C-655/23, NJW 2025, 3137 Rn. 58; vom 20. Juni 2024 - C-590/22, DB 2024, 1676 Rn. 26; vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 36; vom 4. Mai 2023 - C-300/21, VersR 2023, 920 Rn. 51). Allerdings hat der Gerichtshof auch erklärt, dass diese Person nach Art. 82 Abs. 1 DSGVO verpflichtet ist nachzuweisen, dass sie tatsächlich einen Schaden erlitten hat. Die Ablehnung einer Erheblichkeitsschwelle bedeutet nicht, dass eine Person, die von einem Verstoß gegen die Datenschutz-Grundverordnung betroffen ist, der für sie negative Folgen gehabt hat, vom Nachweis befreit wäre, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 dieser Verordnung darstellen (vgl. EuGH, Urteile vom 19. März 2026 - C-526/24, WRP 2026, 596 Rn. 62; vom 4. Oktober 2024 - C-200/23, DB 2024, 2952 Rn. 142; vom 20. Juni 2024 - C-590/22, DB 2024, 1676 Rn. 27; vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 36).

Unter Bezugnahme auf Erwägungsgrund 85 hat der Gerichtshof zudem wiederholt darauf hingewiesen, dass der Unionsgesetzgeber unter den Begriff des Schadens auch den "bloßen Verlust der Kontrolle" über die eigenen personenbezogenen Daten dieser Personen infolge eines Verstoßes gegen die Datenschutz-Grundverordnung "fassen" wollte, selbst wenn konkret keine missbräuchliche Verwendung der betreffenden Daten erfolgt sein sollte (EuGH, Urteile vom 19. März 2026 - C-526/24, WRP 2026, 596 Rn. 61; vom 4. September 2025 - C-655/23, NJW 2025, 3137 Rn. 60; vom 4. Oktober 2024 - C-200/23, DB 2024, 2952 Rn. 145; vom 14. Dezember 2023 - C-340/21, NJW 2024, 1091 Rn. 82). Ähnlich heißt es im Urteil des Gerichtshofs vom 11. April 2024 - C-741/21, NJW 2024, 1561 Rn. 42, dass der 85. Erwägungsgrund der DSGVO ausdrücklich den "Verlust der Kontrolle" zu den Schäden "zählt", die durch eine Verletzung personenbezogener Daten verursacht werden können. In demselben Urteil (aaO) sowie in seinem Urteil vom 20. Juni 2024 - C-590/22, ZD 2024, 519 Rn. 33 hat der Gerichtshof ausgeführt, dass der - selbst kurzzeitige - Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO "darstellen" (englische Fassung: "constitute", französische Fassung: "constituer") kann, der einen Schadensersatz begründet, sofern die betroffene Person den Nachweis erbringt, dass sie tatsächlich "einen solchen Schaden" - so geringfügig er auch sein mag - erlitten hat.

Schließlich ist durch die Rechtsprechung des Gerichtshofs geklärt, dass die durch einen Verstoß gegen die Datenschutz-Grundverordnung ausgelöste (empfundene) Befürchtung einer betroffenen Person, ihre personenbezogenen Daten könnten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung von Dritten missbräuchlich verwendet werden, "für sich genommen" einen immateriellen Schaden im Sinne von Art. 82 Abs. 1 DSGVO darstellen kann, sofern diese Befürchtung samt ihrer negativen Folgen ordnungsgemäß nachgewiesen ist (vgl. EuGH, Urteile vom 4. September 2025 - C-655/23, NJW 2025, 3137 Rn. 61; vom 4. Oktober 2024 - C-200/23, DB 2024, 2952 Rn. 143 f.; vom 20. Juni 2024 - C-590/22, ZD 2024, 519 Rn. 32, 35, 36; vom 25. Januar 2024 - C-687/21, CR 2024, 160 Rn. 65; Senatsurteile vom 13. Mai 2025 - VI ZR 186/22, CR 2025, 585 Rn. 28; vom 18. November 2024 - VI ZR 10/24, BGHZ 242, 180 Rn. 32). Demgegenüber genügt die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen ebenso wenig wie ein rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten (vgl. EuGH, Urteile vom 20. Juni 2024 - C-590/22, aaO Rn. 35; vom 25. Januar 2024 - C-687/21, aaO Rn. 68; Senatsurteile vom 13. Mai 2025 - VI ZR 186/22, aaO Rn. 29; vom 18. November 2024 - VI ZR 10/24, aaO). Die Befürchtung muss unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als "begründet" angesehen werden können (vgl. EuGH, Urteile vom 19. März 2026 - C-526/24, WRP 2026, 596 Rn. 63; vom 4. Oktober 2024 - C-200/23, aaO Rn. 143 mwN; vom 14. Dezember 2023 - C-340/21, NJW 2024, 1091 Rn. 85; Senatsurteil vom 13. Mai 2025 - VI ZR 186/22, aaO). Ebenso wenig wie beim Kontrollverlust ist es dagegen erforderlich, dass es zu einer missbräuchlichen Verwendung der Daten tatsächlich kommt (vgl. Senatsurteil vom 11. November 2025 - VI ZR 396/24, GRUR 2026, 95 Rn. 37). Die mit der begründeten Befürchtung einer missbräuchlichen Datenverwendung verbundenen negativen Folgen können auch negative Gefühle wie Sorge und Ärger sein, auch wenn diese Teil des allgemeinen Lebensrisikos sein können (vgl. EuGH, Urteil vom 4. September 2025 - C-655/23, aaO Rn. 62, 64).

b) Nach diesen Maßstäben ist vorliegend von einem immateriellen Schaden des Klägers im Sinne von Art. 82 DSGVO spätestens ab dem Zeitpunkt auszugehen, zu dem der Dritte, an den die Beklagte die personenbezogenen Daten des Klägers unbefugt übermittelt hatte, diese zur Kenntnis und zum Anlass nahm, sich mit einer Rückfrage an den Kläger hinsichtlich dessen Bewerbung bei der Beklagten zu wenden. Denn zum einen lag darin bereits eine missbräuchliche Verwendung der Daten, so dass der mit ihrer Versendung an den Dritten verbundene Kontrollverlust für den Kläger nicht folgenlos geblieben ist. Der Rechtsprechung des Gerichtshofs lässt sich ohne Zweifel entnehmen, dass jedenfalls in einem solchen Fall ein immaterieller Schaden im Sinne von Art. 82 DSGVO vorliegt (vgl. dazu näher Senatsurteil vom 11. November 2025 - VI ZR 396/24, GRUR 2026, 95 Rn. 32 mwN). Zum anderen hat der Kläger die Befürchtung gehegt, dass der in der gleichen Branche wie er selbst tätige Dritte die in der streitgegenständlichen Nachricht enthaltenen Daten weitergegeben habe oder sich als Konkurrent auf etwaige Stellen aus der Kenntnis der übermittelten Informationen im Bewerbungsprozess habe einen Vorteil verschaffen können. Angesichts des Umstands, dass der Dritte nach Kenntnisnahme von den an ihn übermittelten personenbezogenen Daten des Klägers sich bei ihm nach seiner Bewerbung erkundigte, war diese Befürchtung auch hinreichend begründet.

III.

Auch das Rechtsmittel der Beklagten hat Erfolg.

1. Das Rechtsmittel der Beklagten ist jedenfalls als Anschlussrevision zulässig. Sie ist rechtzeitig, nämlich innerhalb der Monatsfrist des § 554 Abs. 2 Satz 2 ZPO eingelegt worden. Es besteht - wie nach der Rechtsprechung des Bundesgerichtshofs erforderlich (vgl. nur Senatsurteil vom 23. Juli 2024 - VI ZR 427/23, MDR 2024, 1333 Rn. 22 mwN; BGH, Urteil vom 22. November 2007 - I ZR 74/05, BGHZ 174, 244 Rn. 38 ff.) - ein unmittelbarer rechtlicher oder wirtschaftlicher Zusammenhang zwischen dem Streitstoff der Anschlussrevision (Unterlassungsanspruch) und dem Streitgegenstand der klägerischen Revision (Anspruch auf Ersatz immateriellen Schadens). Der rechtliche Zusammenhang besteht darin, dass beide Ansprüche nur begründet sein können, wenn die streitgegenständliche Datenübermittlung unter Verstoß gegen die Datenschutz-Grundverordnung erfolgte. Es kann daher dahinstehen, ob das Berufungsgericht die in der Entscheidungsformel des Berufungsurteils uneingeschränkte Zulassung der Revision in den Entscheidungsgründen wirksam auf den geltend gemachten Schadensersatzanspruch beschränkt hat.

2. Die Revision der Beklagten ist auch begründet. Das Berufungsgericht hat die geltend gemachten Ansprüche auf Unterlassung und Erstattung der durch die Verfolgung des Unterlassungsanspruchs verursachten außergerichtlichen Rechtsverfolgungskosten zu Unrecht bejaht.

a) Dem Kläger steht der geltend gemachte Anspruch gegen die Beklagte auf Unterlassung der Verarbeitung seiner personenbezogenen Daten nicht zu.

Der Gerichtshof hat in seinem Urteil vom 4. September 2025 in der Rechtssache C-655/23 ausgeführt, die Bestimmungen der Datenschutz-Grundverordnung seien dahin auszulegen, dass sie zugunsten der von der unrechtmäßigen Verarbeitung personenbezogener Daten betroffenen Person für den Fall, dass diese Person - wie der Kläger im Streitfall - nicht die Löschung ihrer Daten beantragt, keinen gerichtlichen Rechtsbehelf vorsehen, der es ihr ermöglicht, präventiv zu erwirken, dass dem Verantwortlichen auferlegt wird, künftig eine erneute unrechtmäßige Verarbeitung zu unterlassen. Allerdings hinderten sie die Mitgliedstaaten nicht daran, einen solchen Rechtsbehelf in ihren jeweiligen Rechtsordnungen vorzusehen (NJW 2025, 3137 Rn. 52). Damit kommt vorliegend aufgrund der gegen Art. 6 DSGVO verstoßenden Übermittlung der personenbezogenen Daten des Klägers eine Verurteilung der Beklagten zu der beantragten Unterlassung nach nationalem Recht in entsprechender Anwendung von § 1004 Abs. 1 Satz 2, § 823 Abs. 1 BGB i.V.m. Art. 1 Abs. 1, Art. 2 Abs. 1 GG wegen der durch die rechtswidrige Datenverarbeitung verursachten Verletzung des allgemeinen Persönlichkeitsrechts des Klägers in seiner Ausprägung als Recht auf informationelle Selbstbestimmung oder gemäß § 1004 Abs. 1 Satz 2 analog, § 823 Abs. 2 BGB i.V.m. Art. 6 DSGVO (vgl. zum Unterlassungsanspruch bei einer nach § 29 BDSG a.F. unzulässigen Übermittlung Senatsurteile vom 27. Februar 2018 - VI ZR 489/16, BGHZ 217, 350 Rn. 42; vom 20. Februar 2018 - VI ZR 30/17, BGHZ 217, 340 Rn. 21 f.) in Betracht. Ob - wie die Beklagte meint - einer Verurteilung der Beklagten zur Unterlassung nach nationalem Recht entgegensteht, dass hierfür aufgrund des dem Betroffenen durch Art. 17 DSGVO eingeräumten Anspruchs auf Löschung seiner personenbezogenen Daten kein Bedürfnis besteht, kann offen bleiben. Denn Voraussetzung für das Bestehen eines Unterlassungsanspruchs nach nationalem Recht ist in jedem Fall, dass künftig (weitere) Beeinträchtigungen der Rechte des Anspruchstellers zu besorgen sind, § 1004 Abs. 1 Satz 2 BGB. Daran fehlt es hier. Das Berufungsgericht hat eine Wiederholungsgefahr bezüglich des geltend gemachten Unterlassungsbegehrens zu Unrecht bejaht.

aa) Die Beurteilung, ob und inwieweit Wiederholungsgefahr für ein beanstandetes Verhalten besteht, ist im Wesentlichen tatsächlicher Natur. Sie ist im Revisionsverfahren nur beschränkt nachprüfbar darauf, ob das Berufungsgericht von richtigen rechtlichen Gesichtspunkten ausgegangen ist und keine wesentlichen Tatumstände außer Acht gelassen hat (vgl. zu § 1004 BGB Senatsurteile vom 16. November 2021 - VI ZR 1241/20, NJW 2022, 940 Rn. 33; vom 27. April 2021 - VI ZR 166/19, NJW 2021, 3334 Rn. 22; vom 4. Juni 2019 - VI ZR 440/18, VersR 2019, 1375 Rn. 22; vom 4. Dezember 2018 - VI ZR 128/18, NJW 2019, 1142 Rn. 8; zu § 97 UrhG vgl. BGH, Urteil vom 22. September 2021 - I ZR 83/20, NJW 2022, 775 Rn. 34; jeweils mwN).

bb) Im rechtlichen Ausgangspunkt zutreffend ist das Berufungsgericht davon ausgegangen, dass dann, wenn bereits ein - hier gegebener - Verstoß erfolgt ist, eine tatsächliche Vermutung für das Vorliegen der Wiederholungsgefahr besteht. Es hat allerdings nicht hinreichend berücksichtigt, dass diese Vermutung entkräftet werden kann, wobei an die Entkräftung strenge Anforderungen zu stellen sind. Dabei kann dahinstehen, ob vorliegend bereits die von der Beklagten abgegebene strafbewehrte Unterlassungserklärung der Bejahung einer Wiederholungsgefahr entgegensteht. Denn die Widerlegung der tatsächlichen Vermutung für das Vorliegen der Wiederholungsgefahr kann ausnahmsweise auch dann angenommen werden, wenn der Verstoß durch eine einmalige Sondersituation veranlasst war (vgl. zu § 1004 BGB Senatsurteile vom 27. April 2021 - VI ZR 166/19, NJW 2021, 3334 Rn. 23; vom 4. Juni 2019 - VI ZR 440/18, VersR 2019, 1375 Rn. 36; vom 14. November 2017 - VI ZR 534/15, ZUM 2018, 440 Rn. 17; vom 8. Februar 1994 - VI ZR 286/93, VersR 1994, 570, juris Rn. 27).

So liegt es hier. Der Kläger hat beantragt, die Beklagte zu verurteilen, es künftig zu unterlassen, personenbezogene Daten über den Kläger, die im Zusammenhang mit seiner Bewerbung stehen, zu verarbeiten oder verarbeiten zu lassen, wenn dies geschieht wie in der Nachricht über das Portal Xing an Herrn F. W. am 23. Oktober 2018. Sein Unterlassungsbegehren beschränkt sich somit auf die Wiederholung der bereits begangenen Verletzungshandlung in ihrer konkreten Form, die dadurch gekennzeichnet ist, dass im Rahmen des laufenden Bewerbungsprozesses eine für den Kläger als Bewerber bestimmte und auf ihn bezogene personenbezogene Daten enthaltende Nachricht unbeabsichtigt an einen Dritten versandt wurde. Nachdem das Bewerbungsverfahren, an dem der Kläger teilgenommen hat, mittlerweile abgeschlossen ist, fehlt jedoch jede Wahrscheinlichkeit für eine Wiederholung einer derartigen Beeinträchtigung der Rechte des Klägers.

cc) Einen vorbeugenden Unterlassungsanspruch, für den es auf das Bestehen einer Erstbegehungsgefahr ankäme, macht der Kläger nicht geltend. Wie bereits ausgeführt, zielt der Klageantrag - den der Senat als Revisionsgericht in freier Würdigung selbst auslegen kann (vgl. Senatsurteil vom 18. Juni 1996 - VI ZR 325/95, MDR 1997, 94, 95, juris Rn. 11; Senatsbeschluss vom 19. April 2005 - VI ZB 47/03, NJW-RR 2005, 955, juris Rn. 9; jeweils mwN; BGH, Urteil vom 21. Februar 2012 - X ZR 111/09, NJW-RR 2012, 872 Rn. 24) - allein auf die Unterlassung der Wiederholung der bereits begangenen Verletzungshandlung.

b) Im Zusammenhang mit dem vom Berufungsgericht rechtsfehlerhaft bejahten Anspruch auf Unterlassung kann der Kläger folglich auch keinen Anspruch auf Erstattung vorgerichtlicher Rechtsanwaltskosten verlangen.

IV.

Das angefochtene Urteil war demnach aufzuheben (§ 562 Abs. 1 ZPO). Auch wenn die Schadensersatzpflicht der Beklagten gemäß Art. 82 Abs. 1 DSGVO nach dem oben Ausgeführten dem Grunde nach feststeht, ist die Sache hinsichtlich des diesbezüglichen Klageantrags nicht zur Endentscheidung reif und daher zur neuen Verhandlung und Entscheidung an das Berufungsgericht zurückzuverweisen (§ 563 Abs. 1 Satz 1 ZPO). Die Bemessung der Höhe des Anspruchs auf immateriellen Schadensersatz nach Art. 82 DSGVO ist nach § 287 ZPO dem Tatrichter vorbehalten (zum Hinterbliebenengeld vgl. Senatsurteil vom 6. Dezember 2022 - VI ZR 73/21, BGHZ 235, 254 Rn. 23; zum Schmerzensgeld vgl. Senatsurteil vom 15. Februar 2022 - VI ZR 937/20, NJW 2022, 1953 Rn. 29 mwN). Für die bei der Schadensbemessung anzulegenden Maßstäbe wird auf das Senatsurteil vom 18. November 2024 - VI ZR 10/24 (BGHZ 242, 180 Rn. 93 ff.) sowie auf die Antworten des Gerichtshofs in seinem Urteil vom 4. September 2025 in der Rechtssache C-655/23 auf die Vorlagefragen fünf und sechs (NJW 2025, 3137 Rn. 73, 83) verwiesen. Hinsichtlich des Anspruchs auf Erstattung vorgerichtlicher Rechtsanwaltskosten war die Sache mangels Entscheidungsreife ebenfalls zur neuen Verhandlung und Entscheidung an das Berufungsgericht zurückzuverweisen.

Über den geltend gemachten Unterlassungsanspruch kann der Senat dagegen in der Sache selbst entscheiden, weil insoweit die Aufhebung nur wegen Rechtsverletzung bei Anwendung des Gesetzes auf das festgestellte Sachverhältnis erfolgt und weitere tatsächliche Feststellungen, die für das Bestehen der Wiederholungsgefahr bedeutsam sein könnten, weder erforderlich noch zu erwarten sind (§ 563 Abs. 3 ZPO).