Datenleck bei Krypto-Diensten: Schadensersatz nach DSGVO beginnt laut BGH bei rund 100 Euro

Wenn ein Krypto-Anbieter ein Datenleck meldet, hast du als Kunde in Deutschland zwei Rechte, die sofort greifen: Du darfst nach Art. 15 DSGVO erfahren, welche Daten über dich gespeichert sind, und du kannst nach Art. 82 DSGVO Schadensersatz verlangen. Der Bundesgerichtshof hat entschieden, dass dafür schon der bloße Kontrollverlust über die eigenen Daten genügt, und eine Entschädigung in der Größenordnung von 100 Euro für diesen Fall ausdrücklich gebilligt. Mehr gibt es, wenn du einen konkreten Schaden belegen kannst.

Die Frage ist gerade sehr praktisch. Ende Oktober haben gleich zwei Dienste aus der Kryptobranche Datenlecks bestätigt, und bei beiden geht es um Informationen, die für Krypto-Anleger heikler sind als eine E-Mail-Adresse in einem Onlineshop. Dieser Ratgeber erklärt, wann ein Datenleck einen Anspruch begründet, wie du ihn geltend machst und warum der wichtigste Schritt nach einem Leck bei deinen Coins liegt und erst danach beim Anwalt.

Datenleck bei Wagyu und Chainalysis: Welche Krypto-Daten Ende Oktober abgeflossen sind

Der erste Fall betrifft den Tauschdienst Wagyu. Ein Swap-Dienst tauscht einen Coin in einen anderen, ohne dass du ein Konto mit Identitätsprüfung anlegst: Du schickst etwa Bitcoin an eine Einzahlungsadresse und bekommst Monero (XMR) an eine selbst gewählte Adresse zurück. Nach der Auswertung des Sicherheitsunternehmens Hudson Rock, über die das Fachportal Forklog am 29. Oktober berichtete, umfasst der Datensatz 38.628 Auftragsdatensätze und 10.139 eindeutige IP-Adressen aus der Zeit vom 18. Juli bis 26. Oktober 2026. In 4.580 als abgeschlossen markierten Monero-Aufträgen stehen Einzahlungs-Transaktion, Empfangsadresse und IP-Adresse zusammen. Das Team des Dienstes hat das Leck bestätigt und erklärt, Kundengelder seien nicht betroffen. Die Einzelheiten stehen in unserem Bericht zum Wagyu-Datenleck.

Der zweite Fall liegt eine Ebene höher. Das Blockchain-Analyseunternehmen Chainalysis teilte am 30. Oktober in einem eigenen Sicherheitshinweis mit, dass ein Angreifer auf Nutzer-IDs, vollständige Namen, E-Mail-Adressen und Rollenbezeichnungen der Menschen zugegriffen hat, die bei Kunden des Unternehmens mit der Software arbeiten. Ermittlungsinhalte, Passwörter und Sitzungsschlüssel sind nach Angaben des Unternehmens nicht betroffen. Privatanleger stehen in diesem Datensatz in aller Regel nicht. Das Risiko für dich ist indirekt: Echte Namen aus Compliance-Abteilungen sind Rohmaterial für glaubwürdige Phishing-Mails, wie wir im Beitrag zum Chainalysis-Vorfall beschrieben haben.

Beide Fälle zeigen das Muster, um das es in diesem Ratgeber geht: Ein Anbieter verliert Daten, und die Folgen tragen zuerst die Kunden.

Warum ein Datenleck bei Krypto-Anlegern schwerer wiegt als bei einem Onlineshop

Ein Datensatz aus einem Onlineshop verrät, was du gekauft hast. Ein Datensatz aus der Kryptobranche verrät oft, was du besitzt. Wer deine Wallet-Adresse kennt, kann auf der öffentlichen Blockchain nachsehen, welche Beträge dort liegen und wann sie sich bewegt haben. Kommen Name, Wohnanschrift oder IP-Adresse hinzu, wird aus einer anonymen Adresse eine Person mit bekanntem Vermögen.

Daraus entstehen drei Risiken, die du auseinanderhalten solltest:

• Phishing: Gefälschte Mails, SMS oder Anrufe, die sich auf echte Details aus dem Leck stützen und dich zur Eingabe deiner Wiederherstellungsphrase oder zu einer „Sicherheitsüberweisung“ bewegen wollen.
• Deanonymisierung: Die Verknüpfung von Adresse und Identität bleibt dauerhaft bestehen. Gerade bei Monero, das als Privacy Coin auf Vertraulichkeit ausgelegt ist, hebelt ein Leck beim Zwischenhändler den Schutz der Blockchain aus.
• Physische Bedrohung: Erpressungen an der Haustür, im Englischen „Wrench Attacks“ genannt, setzen voraus, dass der Täter weiß, wer wie viel hält. Für Frankreich haben wir am 10. Oktober über 90 solcher Entführungsfälle in sieben Monaten berichtet.

Juristisch spielt diese Schwere eine Rolle, denn sie entscheidet mit darüber, wie hoch ein Schadensersatz ausfällt. Praktisch heißt sie: Nach einem Leck schützt du zuerst dein Vermögen, und um das Geld vom Anbieter kümmerst du dich danach.

Art. 82 DSGVO: Wann ein Datenleck einen Anspruch auf Schadensersatz begründet

Die Grundlage steht in Artikel 82 Absatz 1 der Datenschutz-Grundverordnung. Jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadensersatz gegen den Verantwortlichen. Verantwortlicher ist das Unternehmen, das über Zweck und Mittel der Datenverarbeitung entscheidet, bei einer Krypto-Börse also die Börse selbst.

Für einen Anspruch müssen drei Bausteine zusammenkommen:

1. Ein Verstoß gegen die DSGVO. Bei einem Datenleck ist das meist die Pflicht aus Art. 32 DSGVO, personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen zu schützen.
2. Ein Schaden. Der Verstoß allein reicht nicht. Das hat der Europäische Gerichtshof im Mai 2023 im Verfahren C-300/21 klargestellt, zugleich aber eine Erheblichkeitsschwelle verworfen: Auch ein kleiner Schaden zählt.
3. Ein Zusammenhang. Der Schaden muss gerade auf diesem Verstoß beruhen.

Wichtig für dich ist die Beweislast. Dass Unbekannte Daten erbeutet haben, beweist für sich genommen noch nicht, dass der Anbieter seine Schutzpflichten verletzt hat. So hat es der EuGH im Dezember 2023 im Verfahren C-340/21 entschieden. Nach demselben Urteil muss aber der Anbieter darlegen, dass seine Sicherheitsmaßnahmen angemessen waren. Er haftet nur dann nicht, wenn er nach Art. 82 Absatz 3 DSGVO nachweist, dass er für den Vorfall in keinerlei Hinsicht verantwortlich ist.

BGH-Urteil VI ZR 10/24: Kontrollverlust reicht, die Größenordnung liegt bei 100 Euro

Die wichtigste deutsche Entscheidung stammt vom 18. November 2024. Im Verfahren VI ZR 10/24 ging es um das Facebook-Scraping von 2021, bei dem Daten von rund 533 Millionen Nutzern öffentlich verbreitet wurden. Das Oberlandesgericht Köln hatte die Klage noch abgewiesen, weil der bloße Kontrollverlust kein Schaden sei. Der Bundesgerichtshof sah das anders, wie seine Pressemitteilung Nr. 218/2024 festhält.

Kontrollverlust bedeutet: Deine Daten sind in fremde Hände gelangt, und du kannst nicht mehr bestimmen, wer sie nutzt. Nach dem BGH kann schon dieser bloße und auch kurzzeitige Verlust ein immaterieller Schaden sein. Eine konkrete missbräuchliche Verwendung muss nicht stattgefunden haben, und weitere spürbare Folgen musst du auch nicht nachweisen. Zur Höhe hat der Senat erklärt, es bestünden unter den Umständen jenes Falls keine rechtlichen Bedenken, den Ausgleich für den bloßen Kontrollverlust in einer Größenordnung von 100 Euro zu bemessen.

Zwei Punkte solltest du daraus mitnehmen. Erstens: Der Anspruch ist real, aber für den bloßen Kontrollverlust klein. Zweitens: Du musst darlegen, dass gerade deine Daten betroffen sind. Ohne Nachweis der Betroffenheit gibt es keinen Anspruch, und genau dafür brauchst du das Auskunftsrecht aus dem nächsten Abschnitt. Der BGH hat außerdem anerkannt, dass Betroffene feststellen lassen können, dass der Anbieter auch für künftige Schäden haftet. Das ist bei Krypto-Daten wertvoll, denn ein Phishing-Angriff kann Monate nach dem Leck kommen.

Immaterieller und materieller Schaden: Wann mehr als 100 Euro möglich sind

Der Unterschied zwischen beiden Schadensarten ist für die Höhe entscheidend. Ein materieller Schaden ist ein messbarer Vermögensnachteil, etwa gestohlene Coins, Kosten für einen neuen Ausweis oder Anwaltskosten. Ein immaterieller Schaden betrifft Befindlichkeit und Lebensführung, etwa Angst, Ärger oder den Aufwand, ständig verdächtige Nachrichten aussortieren zu müssen.

Über die 100 Euro hinaus kann es gehen, wenn du mehr als den bloßen Kontrollverlust darlegen kannst. Der EuGH hat im Verfahren C-340/21 anerkannt, dass schon die begründete Befürchtung eines künftigen Missbrauchs ein immaterieller Schaden sein kann. Bei Krypto-Anlegern liegt diese Befürchtung näher als bei vielen anderen Lecks, wenn Name, Anschrift und Bestand zusammen offenliegen. Ein rein hypothetisches Risiko genügt allerdings nicht. Gerichte verlangen, dass du die Folgen für dich konkret beschreibst.

Hilfreich ist deshalb eine Liste, die du ab dem ersten Tag führst:

• jede Phishing-Mail, SMS oder Anruf mit Datum, Absender und Inhalt, am besten als Bildschirmfoto;
• Kosten, die dir entstanden sind, mit Beleg, etwa für eine neue Hardware-Wallet, einen neuen Ausweis oder eine Beratung;
• Zeitaufwand für Passwortwechsel, Umzug der Coins und Schriftverkehr;
• bei einem tatsächlichen Verlust die Transaktions-ID und die Strafanzeige.

Werden Coins nach einem Leck tatsächlich gestohlen, ist das ein materieller Schaden in Höhe ihres Werts. Dann musst du allerdings auch zeigen, dass der Diebstahl auf dem Leck beruht und nicht etwa auf einem eigenen Fehler bei der Verwahrung. Woran du gefälschte Nachrichten nach einem Leck erkennst, zeigt unser Ratgeber zu Phishing nach einem Datenleck.

Auskunftsrecht nach Art. 15 DSGVO: Welche Daten der Anbieter herausgeben muss

Bevor du etwas forderst, klärst du, was über dich gespeichert ist. Das Auskunftsrecht aus Art. 15 DSGVO gibt dir Anspruch auf eine Bestätigung, ob der Anbieter Daten über dich verarbeitet, und wenn ja, auf eine Kopie dieser Daten. Dazu gehören die Zwecke der Verarbeitung, die Empfänger, die geplante Speicherdauer und die Herkunft der Daten, soweit sie nicht von dir selbst stammen. Die erste Kopie ist kostenlos.

Der Anbieter muss nach Art. 12 Absatz 3 DSGVO unverzüglich antworten, spätestens innerhalb eines Monats. Bei komplexen Anfragen kann er die Frist um zwei Monate verlängern, muss dir das aber innerhalb des ersten Monats mit Begründung mitteilen.

Für Kunden einer Krypto-Börse lohnt es sich, die Anfrage gezielt zu stellen. Frag nicht nur nach „allen Daten“, sondern ausdrücklich nach diesen Punkten:

• welche deiner Daten von dem gemeldeten Vorfall betroffen sind;
• ob Wallet-Adressen, Transaktionsdaten oder Kontostände dazugehören;
• ob Ausweiskopien, Selfies aus der Identitätsprüfung oder Adressnachweise betroffen sind;
• an welche Dienstleister die Daten weitergegeben wurden, etwa für Identitätsprüfung oder Versand.

Schick die Anfrage über einen Weg, der den Zugang belegt, etwa per E-Mail an die in der Datenschutzerklärung genannte Adresse und mit Kopie an den Datenschutzbeauftragten. Notiere das Datum. Die Antwort ist zugleich dein wichtigstes Beweismittel, falls du später Schadensersatz forderst.

Art. 33 und Art. 34 DSGVO: Welche Meldepflichten den Anbieter nach einem Datenleck treffen

Die DSGVO verpflichtet den Anbieter nach einem Leck zu zwei getrennten Meldungen. Nach Art. 33 muss er die Datenpanne in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Nach Art. 34 muss er dich als Betroffenen unverzüglich benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für deine Rechte und Freiheiten zur Folge hat.

Diese Benachrichtigung muss in klarer und einfacher Sprache beschreiben, was passiert ist, welche Folgen wahrscheinlich sind und welche Maßnahmen der Anbieter ergriffen hat. Außerdem muss sie einen Ansprechpartner nennen, etwa den Datenschutzbeauftragten. Eine Mail, die nur von einem „Sicherheitsvorfall“ spricht und keine Datenarten nennt, erfüllt diese Anforderungen kaum.

Für dich hat die Benachrichtigung zwei Seiten. Einerseits belegt sie, dass deine Daten betroffen sind. Andererseits ist sie das liebste Werkzeug der Betrüger: Nach fast jedem großen Leck tauchen gefälschte Benachrichtigungen auf, die zu einer „Kontoprüfung“ auf einer nachgebauten Seite führen. Prüfe deshalb jede Benachrichtigung über den Weg, den du selbst kennst, also über die gespeicherte Adresse der Börse in deinem Browser, nie über einen Link in der Mail.

Marktortprinzip: Gilt die DSGVO auch für Krypto-Anbieter außerhalb der EU?

Viele Krypto-Dienste sitzen außerhalb der Europäischen Union. Die DSGVO greift trotzdem häufig, und zwar über das Marktortprinzip in Art. 3 Absatz 2. Danach gilt die Verordnung auch für Unternehmen ohne Niederlassung in der EU gilt, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten in der EU beobachten. Ein Dienst mit deutscher Oberfläche, Zahlungswegen in Euro oder gezielter Werbung in Deutschland bietet seine Leistung erkennbar hier an.

Das Problem liegt bei der Durchsetzung. Ein Anbieter auf einer Insel in der Karibik zahlt nicht, nur weil ein deutsches Gericht ihn verurteilt. Unternehmen aus Drittstaaten müssen nach Art. 27 DSGVO zwar einen Vertreter in der EU benennen, viele kleine Dienste tun das aber nicht. Bei einem Swap-Dienst ohne Konto und ohne bekannte Firmenanschrift ist ein Anspruch auf dem Papier oft das Ende des Wegs.

Hier liegt ein handfester Vorteil von Anbietern mit Sitz oder Zulassung in der EU. Wer unter der MiCA-Verordnung zugelassen ist, hat eine ladungsfähige Anschrift in der EU und eine zuständige Aufsicht, an die du dich wenden kannst. Einen Überblick über Anbieter mit EU-Erlaubnis findest du in unserem Vergleich regulierter Krypto-Börsen. Auch beim Thema IP-Adresse hilft die Rechtslage: Der EuGH stuft dynamische IP-Adressen seit 2016 als personenbezogene Daten ein, sie fallen also unter den Schutz der DSGVO.

Beschwerde bei der Datenschutzbehörde und Verjährung des Schadensersatzanspruchs

Neben der Zivilklage hast du nach Art. 77 DSGVO das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Für private Unternehmen sind in Deutschland die Datenschutzbehörden der Länder zuständig, und du kannst dich an die Behörde deines eigenen Bundeslands wenden. Die Beschwerde kostet nichts. Geld bringt sie dir nicht, kann aber ein Bußgeld und Auflagen gegen den Anbieter auslösen und liefert manchmal Informationen, die dir bei einer späteren Forderung helfen.

Für den Schadensersatz selbst gilt in Deutschland die regelmäßige Verjährungsfrist von drei Jahren nach § 195 BGB. Diese Frist beginnt nach § 199 BGB mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und du davon erfahren hast. Für ein Leck, von dem du im Oktober 2026 erfahren hast, läuft die Frist also bis zum Ende des Jahres 2029. Du musst nichts überstürzen, solltest aber Belege sofort sichern, solange sie frisch sind.

Ob sich eine Klage lohnt, hängt vom Einzelfall ab. Bei einem Streitwert von wenigen hundert Euro übersteigen die Kosten schnell den Ertrag, wenn du verlierst. Eine Rechtsschutzversicherung mit Datenschutzbaustein senkt dieses Risiko. Außerdem können Verbraucherverbände seit Oktober 2023 mit einer Abhilfeklage gebündelt Ansprüche vieler Betroffener durchsetzen. Bei großen Lecks lohnt der Blick, ob die Verbraucherzentrale ein solches Verfahren führt.

Phishing nach dem Datenleck: Die Verwahrung schützt deine Coins besser als jede Entschädigung

Gemessen an dem, was auf dem Spiel steht, sind 100 Euro Schadensersatz wenig. Wer nach einem Leck seine Wiederherstellungsphrase in eine gefälschte Seite tippt, verliert unter Umständen seinen gesamten Bestand, und den ersetzt kein Gericht. Deshalb gehört die Absicherung vor die Forderung.

Die wichtigste Regel lautet: Kein seriöser Anbieter fragt je nach deiner Seed-Phrase. Die Seed-Phrase ist die Folge von meist 12 oder 24 Wörtern, aus der sich alle Schlüssel deiner Wallet wiederherstellen lassen. Wer sie kennt, besitzt deine Coins. Jede Nachricht, die nach ihr fragt, ist Betrug, ganz gleich, wie echt Absender und Gestaltung wirken.

Liegen deine Coins bei dem Anbieter, der das Leck gemeldet hat, ist das kein Grund zur Panik. Ein Datenleck heißt zunächst nicht, dass Guthaben in Gefahr sind. Es ist aber ein guter Anlass zu prüfen, ob größere Beträge auf einer Börse liegen müssen. Mit einer Hardware-Wallet bleiben die privaten Schlüssel auf einem Gerät, das nicht mit dem Internet verbunden ist. Welche Geräte dafür in Frage kommen, zeigt unser Hardware-Wallet-Vergleich.

Kennt der Angreifer deine Wallet-Adresse, hilft ein Umzug auf eine neue Adresse. Die alte Adresse bleibt im Datensatz mit deinem Namen verknüpft, die neue nicht. Bei Bitcoin kostet ein solcher Umzug eine einzige Transaktionsgebühr. Achte darauf, dass du die neue Adresse nicht wieder über denselben Dienst mit deiner Identität verknüpfst. Wie gezieltes Phishing nach einem Leck aussieht, haben wir am Beispiel der Revolut-Daten im Beitrag zum Revolut-Datenleck gezeigt, dort steht auch, wie die Bank die Kosten für neue Ausweise übernommen hat.

Datenleck-Schadensersatz: Erst die Coins sichern, dann binnen drei Jahren fordern

1. Auskunft verlangen und Belege sichern. Schick dem Anbieter eine Anfrage nach Art. 15 DSGVO mit den gezielten Fragen von oben, notiere das Datum und speichere jede verdächtige Nachricht. Bei Anbietern mit EU-Zulassung weißt du, wohin du schreibst und welche Aufsicht zuständig ist: Unser Vergleich regulierter Krypto-Börsen zeigt, wer eine Erlaubnis hat.
2. Verwahrung prüfen. Größere Bestände gehören nicht dauerhaft auf eine Börse. Zieh sie auf eine eigene Hardware-Wallet und eine neue Adresse um. Geräte, Preise und Sicherheitsmerkmale vergleicht unser Hardware-Wallet-Vergleich.
3. Alltagswallet neu aufsetzen. Für kleinere Beträge, die du häufig bewegst, legst du eine neue Software-Wallet mit neuer Seed-Phrase an, statt die alte Adresse weiter zu nutzen. Welche App sich eignet, steht im Software-Wallet-Vergleich. Den Schadensersatz forderst du danach in Ruhe, die Frist läuft drei Jahre ab Jahresende.

(Stand: 2. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)