DSGVO-Anspruch verkaufen: So funktioniert die Abtretung

Ja, du kannst deinen Anspruch auf Schadensersatz nach Art. 82 DSGVO verkaufen. Ein Oberlandesgericht hält ihn für abtretbar OLG Hamm 11 U 69/23, der BGH muss darüber noch entscheiden BGH VI ZR 257/24. Du bekommst einen festen Kaufpreis. Er ist kleiner als das, was ein Gericht im besten Fall zuspricht, kommt aber sofort und ohne Kostenrisiko.

Wie eine Abtretung funktioniert

Nach einem Datenleck kann dir das verantwortliche Unternehmen Geld schulden. Diese Forderung kannst du per Vertrag übertragen, das heißt Abtretung § 398 BGB. Du bist dann der Zedent, also der, der abtritt. Der Käufer zahlt dir einen Preis und verlangt das Geld danach selbst vom Unternehmen. Ob er es bekommt, ist sein Risiko.

Darf man einen DSGVO-Anspruch verkaufen?

Maßgeblich ist bisher ein Urteil des OLG Hamm OLG Hamm 11 U 69/23. Ein Impfzentrum hatte versehentlich Excel-Listen mit den Daten von rund 13.000 Menschen verschickt, ein Unternehmen kaufte Betroffenen ihre Ansprüche ab und klagte. Der Senat entschied:

• Der Anspruch ist abtretbar. Art. 82 DSGVO ist kein höchstpersönlicher Anspruch. Er hängt nicht so eng an deiner Person, dass nur du ihn geltend machen kannst.
• Der Ankauf ist kein Inkasso. Der Käufer trug das volle Ausfallrisiko und alle Kosten. Das ist echtes Factoring.
• Das Risiko lag beim Käufer. Geld gab es nur für zwei Zedenten, 400 € und 200 €, die Kosten trug die Käuferin. Dass bloßer Kontrollverlust kein Schaden sei, hat der BGH vier Monate später anders entschieden BGH VI ZR 10/24.

Was du bekommst und was du abgibst

Du bekommst einen festen Betrag nach Tagen statt nach Jahren und trägst kein Kostenrisiko. Du gibst dafür den ganzen Anspruch ab, auch das, was ein Gericht vielleicht zusätzlich zugesprochen hätte.

Der BGH hatte keine rechtlichen Bedenken, den bloßen Kontrollverlust in seinem Fall „in einer Größenordnung von 100 €“ zu bemessen BGH VI ZR 10/24. Zugesprochen hat er diesen Betrag nicht, und bei entsprechenden Umständen ist mehr möglich. Instanzgerichte sprechen bei Scraping und Hacks je nach Fall nichts bis einige hundert Euro zu, zum Beispiel:

Mehr Urteile im Ratgeber Wie viel Schadensersatz nach einem Datenleck?

Vier Wege im Vergleich

Selbst klagen. Bis 10.000 € ist das Amtsgericht zuständig § 23 GVG, ohne Anwaltszwang § 78 ZPO. Wer verliert, trägt die Kosten § 91 ZPO. Du musst beweisen, dass deine Daten betroffen sind. Ein Online-Leak-Check reichte dem OLG Köln dafür nicht OLG Köln 6 U 11/25. Wie du Belege bekommst, steht unter Bin ich von einem Datenleck betroffen?

Mit Anwalt. Ohne Rechtsschutzversicherung zahlst du ihn zunächst selbst. Bist du versichert, lass dir die Deckung vorher bestätigen. Auch ein Sieg kann Geld kosten: Das LG Lübeck sprach 350 € statt der geforderten über 3.000 € zu, die Kosten trug der Kläger LG Lübeck 15 O 216/23.

Verbandsklage. Für das Facebook-Scraping 2018/2019 führt der Verbraucherzentrale Bundesverband eine Musterfeststellungsklage gegen Meta OLG Hamburg 11 VKl 1/24. Die Anmeldung beim Bundesamt für Justiz hemmt die Verjährung § 204a BGB. Im Juni 2026 hat das OLG das Verfahren ausgesetzt und dem EuGH Fragen vorgelegt. Auch ein Erfolg zahlt nichts automatisch aus: Den Anspruch setzt du danach selbst durch, gebunden an die Feststellungen § 11 VDuG.

Verkaufen. Der Preis liegt unter dem, was ein Gericht im Erfolgsfall zuspräche, denn der Käufer bezahlt die Fälle mit, die er verliert. Das passt eher zu einem kleinen Fall ohne Rechtsschutzversicherung. Kannst du konkrete Folgen belegen, haben Gerichte schon mehr zugesprochen, etwa 100 € für den Kontrollverlust und weitere 100 € für die wahrscheinliche Angst vor Missbrauch OLG Frankfurt 6 U 53/24.

So läuft der Ankauf bei Saldo

Saldo ist einer dieser Käufer, und das hier ist unsere Seite. Du gibst deine E-Mail-Adresse ein, wir gleichen sie mit bekannten Datenlecks ab. Für jeden Vorfall, den wir selbst geprüft haben, siehst du einen Kaufpreis, bevor du etwas unterschreibst. Vorfälle außerhalb unserer Liste oder unseres Ankaufszeitraums zeigen wir dir trotzdem, aber ohne Angebot. Nimmst du an, trittst du deine Ansprüche nach Art. 82 Abs. 1 DSGVO gegen die genannten Unternehmen ab. Die Erklärung nennt den Kaufpreis und eine Zahlungsfrist in Werktagen. Sie gilt unabhängig vom Ausgang der Rechtsverfolgung, der Kaufpreis wird nicht zurückgefordert. Der Wortlaut wird mit deinem Fall gespeichert. Ab der Abtretung tragen wir Kosten, Aufwand und Prozessrisiko. Lehnen wir einen Fall nach Prüfung ab, bleibt dein Anspruch davon unberührt, und du kannst ihn selbst geltend machen.

Worauf du bei jedem Angebot achten solltest