Wird einer betroffenen Person durch eine nach diesem Teil oder nach anderen auf die Verarbeitung des Verantwortlichen anwendbaren datenschutzrechtlichen Vorschriften rechtswidrige Verarbeitung ihrer personenbezogenen Daten ein Schaden zugefügt, so sind ihr der Verantwortliche oder deren Rechtsträger unabhängig von einem Verschulden zum Ersatz des daraus entstehenden Schadens verpflichtet.

Wegen eines Schadens, der nicht Vermögensschaden ist, kann die betroffene Person eine billige Entschädigung in Geld verlangen.

Im Fall einer nicht automatisierten Verarbeitung besteht die Ersatzpflicht nicht, wenn der Verantwortliche nachweist, dass die Unzulässigkeit der Datenverarbeitung nicht von ihm zu vertreten ist.

Lässt sich bei einer automatisierten Verarbeitung personenbezogener Daten nicht ermitteln, welcher von mehreren Verantwortlichen den Schaden verursacht hat, so haftet jeder Verantwortliche oder sein Rechtsträger.

Auf ein Mitverschulden der betroffenen Person ist § 254 des Bürgerlichen Gesetzbuchs entsprechend anwendbar.

Auf die Verjährung des Schadensersatzanspruchs sind die für unerlaubte Handlungen geltenden Verjährungsvorschriften des Bürgerlichen Gesetzbuchs entsprechend anwendbar.