Deliktische Haftung (§ 823 BGB)

Kurzdefinition: § 823 BGB ist die Grundnorm der außervertraglichen (deliktischen) Haftung. Nach Absatz 1 haftet auf Schadensersatz, wer vorsätzlich oder fahrlässig widerrechtlich ein absolut geschütztes Rechtsgut — Leben, Körper, Gesundheit, Freiheit, Eigentum oder ein sonstiges Recht — verletzt. Nach Absatz 2 trifft dieselbe Pflicht denjenigen, der gegen ein Schutzgesetz verstößt. Die Norm greift auch ohne Vertrag und ist damit der Weg, über den Dritte nach einem Cyber- oder Datenvorfall Ersatz verlangen. [N-BGB-823]

Der Normwortlaut

§ 823 Abs. 1 BGB lautet amtlich: „Wer vorsätzlich oder fahrlässig das Leben, den Körper, die Gesundheit, die Freiheit, das Eigentum oder ein sonstiges Recht eines anderen widerrechtlich verletzt, ist dem anderen zum Ersatz des daraus entstehenden Schadens verpflichtet.“ § 823 Abs. 2 Satz 1 BGB lautet: „Die gleiche Verpflichtung trifft denjenigen, welcher gegen ein den Schutz eines anderen bezweckendes Gesetz verstößt.“ [N-BGB-823]

Welche Rechtsgüter schützt § 823 Abs. 1 BGB?

Die ausdrücklich genannten absoluten Rechtsgüter — Leben, Körper, Gesundheit, Freiheit und Eigentum — sowie „sonstige Rechte“. Zu den sonstigen Rechten zählt die Rechtsprechung insbesondere das allgemeine Persönlichkeitsrecht und das Recht am eingerichteten und ausgeübten Gewerbebetrieb. Rein wirtschaftliche Vermögensschäden ohne Verletzung eines solchen Rechts sind über Absatz 1 dagegen grundsätzlich nicht ersatzfähig. [N-BGB-823]

Welche Voraussetzungen hat der Anspruch aus § 823 Abs. 1 BGB?

Vier Elemente: die Verletzung eines geschützten Rechtsguts, die Widerrechtlichkeit der Verletzung, das Verschulden des Handelnden — Vorsatz oder Fahrlässigkeit — und ein daraus kausal entstandener Schaden. Fehlt eines dieser Elemente, besteht kein Anspruch. [N-BGB-823]

Was ist ein Schutzgesetz im Sinne des § 823 Abs. 2 BGB?

Eine Rechtsnorm, die nicht nur die Allgemeinheit, sondern gerade auch den Einzelnen schützen soll. Ob eine Vorschrift Schutzgesetz ist, richtet sich nach ihrem Schutzzweck. In Betracht kommen etwa bestimmte Strafnormen; ob eine konkrete Vorschrift des Datenschutz- oder Sicherheitsrechts als Schutzgesetz einzuordnen ist, ist eine Frage des Einzelfalls und ihres Schutzzwecks. [N-BGB-823]

Kann eine Datenschutzverletzung eine deliktische Haftung auslösen?

Sie kann. Die Verletzung des allgemeinen Persönlichkeitsrechts kommt als Verletzung eines „sonstigen Rechts“ nach Absatz 1 in Betracht, und ein Verstoß gegen eine als Schutzgesetz einzuordnende Norm kann Absatz 2 auslösen. Daneben besteht mit dem datenschutzrechtlichen Schadenersatzanspruch eine eigene, spezielle Grundlage. Welche Anspruchsgrundlage im Einzelfall trägt, ist gesondert zu prüfen. [N-BGB-823]

Wie verhält sich § 823 BGB zur vertraglichen Haftung?

Beide können nebeneinander bestehen. Gegenüber einem Vertragspartner kommen häufig sowohl der vertragliche Anspruch nach § 280 BGB als auch der deliktische Anspruch nach § 823 BGB in Betracht. Gegenüber Dritten ohne Vertragsbeziehung bleibt regelmäßig nur das Deliktsrecht. Die Ansprüche unterscheiden sich unter anderem in Verjährung, Zurechnung von Gehilfen und Beweislast. [N-BGB-823] [N-BGB-280]

Wer haftet für Verletzungen durch Mitarbeiter?

Im Deliktsrecht haftet zunächst der Handelnde selbst. Der Geschäftsherr haftet für seine Verrichtungsgehilfen nach der eigenständigen Norm des § 831 BGB, die an ein vermutetes Auswahl- und Überwachungsverschulden anknüpft und einen Entlastungsbeweis zulässt. Das unterscheidet die deliktische Gehilfenhaftung von der vertraglichen Zurechnung nach § 278 BGB. [N-BGB-823] [N-BGB-831]

Was bedeutet § 823 BGB nach einem Cyber-Vorfall konkret?

Werden durch einen Angriff Rechtsgüter Dritter verletzt — etwa das Persönlichkeitsrecht betroffener Personen oder das Eigentum an beschädigten Systemen —, kommt eine deliktische Haftung in Betracht. Für das Unternehmen ist maßgeblich, ob ihm ein eigenes Verschulden zur Last fällt, etwa durch unzureichende Sicherheitsvorkehrungen, und ob die verletzte Pflicht dem Schutz des Geschädigten diente. [N-BGB-823]

Häufige Fehlannahmen

• „Ohne Vertrag gibt es keine Haftung.“ Nein. § 823 BGB begründet gerade die Haftung außerhalb von Vertragsbeziehungen. [N-BGB-823]
• „Jeder Vermögensschaden ist über § 823 Abs. 1 BGB ersatzfähig.“ Nein. Absatz 1 schützt bestimmte absolute Rechtsgüter; reine Vermögensschäden ohne Rechtsgutsverletzung sind grundsätzlich nicht erfasst. [N-BGB-823]
• „Jede Gesetzesverletzung löst § 823 Abs. 2 BGB aus.“ Nein. Nur der Verstoß gegen ein Schutzgesetz, das gerade auch dem Schutz des Einzelnen dient, begründet die Haftung. [N-BGB-823]
• „Deliktische und vertragliche Haftung schließen sich aus.“ Nein. Sie können nebeneinander bestehen und unterscheiden sich in Verjährung, Beweislast und Zurechnung. [N-BGB-823] [N-BGB-280]
• „Für Verletzungen durch Mitarbeiter hafte ich deliktisch immer.“ Nicht zwingend. Die Haftung des Geschäftsherrn nach § 831 BGB lässt einen Entlastungsbeweis zu. [N-BGB-823] [N-BGB-831]
• „Eine Datenschutzverletzung ist nie ein Delikt.“ Nicht richtig. Sie kann das Persönlichkeitsrecht als sonstiges Recht verletzen oder über ein Schutzgesetz zur Haftung führen; daneben besteht der eigene datenschutzrechtliche Anspruch. [N-BGB-823]
• „Widerrechtlichkeit muss der Geschädigte stets voll beweisen.“ Bei der Verletzung absoluter Rechtsgüter wird die Widerrechtlichkeit regelmäßig indiziert; Rechtfertigungsgründe hat der Schädiger darzulegen. [N-BGB-823]

Was die Geschäftsleitung tun sollte

1. Sicherheitsniveau belegen. Angemessene technische und organisatorische Maßnahmen senken das Verschuldensrisiko und sind im Streitfall zu belegen.
2. Betroffenenrechte mitdenken. Nach einem Datenvorfall können Dritte deliktische und datenschutzrechtliche Ansprüche geltend machen.
3. Gehilfenauswahl dokumentieren. Für die deliktische Gehilfenhaftung ist die sorgfältige Auswahl und Überwachung entlastend.
4. Anspruchskonkurrenzen prüfen. Gegenüber Vertragspartnern die vertragliche und die deliktische Ebene zusammen betrachten.
5. Versicherung abstimmen. Die Haftpflicht- oder Cyber-Deckung sollte deliktische Drittansprüche einschließen.

Für die Geschäftsleitung

§ 823 BGB ist die Norm, über die Außenstehende nach einem Vorfall Ersatz verlangen — ohne dass es eines Vertrags bedarf. Für die Geschäftsleitung heißt das: Ein belastbares Sicherheitsniveau schützt nicht nur vor der Aufsicht, sondern auch vor zivilrechtlicher Haftung gegenüber Betroffenen. Wer Maßnahmen, Auswahlentscheidungen und Reaktionen dokumentiert, verbessert seine Position in beiden Richtungen — Abwehr wie Regress.

Quellen

1. [N-BGB-823] § 823 BGB (Schadensersatzpflicht), Abs. 1 und Abs. 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bgb/__823.html
2. [N-BGB-280] § 280 BGB (Schadensersatz wegen Pflichtverletzung). Geltende Fassung, Stand 11. Juli 2026 — vertragliche Parallelhaftung. Amtlich: https://www.gesetze-im-internet.de/bgb/__280.html
3. [N-BGB-831] § 831 BGB (Haftung für den Verrichtungsgehilfen). Geltende Fassung, Stand 11. Juli 2026 — deliktische Gehilfenhaftung mit Entlastungsbeweis. Amtlich: https://www.gesetze-im-internet.de/bgb/__831.html