Schadensersatz wegen Pflichtverletzung (§ 280 BGB)

Kurzdefinition: § 280 BGB ist die zentrale Anspruchsgrundlage der vertraglichen (schuldrechtlichen) Haftung. Wer eine Pflicht aus einem Schuldverhältnis verletzt, muss dem Gläubiger den daraus entstehenden Schaden ersetzen — es sei denn, er hat die Pflichtverletzung nicht zu vertreten. Für IT- und Cyber-Sachverhalte ist die Norm der übliche Weg, über den ein Auftraggeber Schäden aus einem Vertragsbruch seines Dienstleisters — oder umgekehrt — geltend macht. [N-BGB-280]

Der Normwortlaut

§ 280 Abs. 1 BGB lautet amtlich: „Verletzt der Schuldner eine Pflicht aus dem Schuldverhältnis, so kann der Gläubiger Ersatz des hierdurch entstehenden Schadens verlangen. Dies gilt nicht, wenn der Schuldner die Pflichtverletzung nicht zu vertreten hat.“ Nach § 280 Abs. 2 BGB setzt der Ersatz des Verzögerungsschadens zusätzlich Verzug voraus, nach § 280 Abs. 3 BGB der Schadensersatz statt der Leistung die weiteren Voraussetzungen der §§ 281 bis 283. [N-BGB-280]

Welche Voraussetzungen hat der Anspruch aus § 280 Abs. 1 BGB?

Vier Elemente: ein Schuldverhältnis, eine Pflichtverletzung, das Vertretenmüssen dieser Pflichtverletzung und ein dadurch kausal verursachter Schaden. Das Schuldverhältnis kann ein Vertrag sein, aber auch ein gesetzliches oder vorvertragliches Schuldverhältnis. Fehlt eines der Elemente, scheidet der Anspruch aus. [N-BGB-280]

Was ist eine Pflichtverletzung?

Jedes Zurückbleiben hinter dem, was das Schuldverhältnis fordert — sei es die Nicht- oder Schlechterfüllung der Hauptleistung, sei es die Verletzung einer Nebenpflicht wie einer Schutz-, Aufklärungs- oder Obhutspflicht. Bei einem IT-Dienstleistungsvertrag kann etwa das Versäumen vereinbarter Sicherheitsmaßnahmen oder eines Patch-Standes eine Pflichtverletzung sein. [N-BGB-280]

Was bedeutet „Vertretenmüssen“ und wer muss es beweisen?

Vertretenmüssen meint, dass dem Schuldner die Pflichtverletzung zurechenbar ist — regelmäßig, weil er sie vorsätzlich oder fahrlässig begangen hat. § 280 Abs. 1 Satz 2 BGB ist negativ formuliert: Der Schuldner haftet, „es sei denn“, er hat die Pflichtverletzung nicht zu vertreten. Daraus folgt eine Beweislastumkehr — nicht der Gläubiger muss das Verschulden beweisen, sondern der Schuldner muss sich entlasten. [N-BGB-280]

Haftet der Schuldner auch für seine Leute?

Ja. Das Verschulden seiner Erfüllungsgehilfen und gesetzlichen Vertreter wird ihm über die Zurechnungsnorm zugerechnet, als wäre es sein eigenes. Wer also Subunternehmer oder eigene Mitarbeiter zur Vertragserfüllung einsetzt, haftet für deren Verschulden im Rahmen des § 280 BGB. [N-BGB-280] [N-BGB-278]

Wie unterscheidet sich der einfache Schadensersatz vom Schadensersatz statt der Leistung?

Der einfache Schadensersatz „neben der Leistung“ nach § 280 Abs. 1 BGB gleicht Begleitschäden aus, während die Leistung selbst noch verlangt werden kann. Der Schadensersatz statt der Leistung tritt an die Stelle der Leistung und setzt nach § 280 Abs. 3 BGB die zusätzlichen Voraussetzungen der §§ 281 bis 283 voraus — etwa eine erfolglose Fristsetzung. Der Verzögerungsschaden nach § 280 Abs. 2 BGB verlangt zusätzlich den Verzug. [N-BGB-280]

Was bedeutet § 280 BGB für die vertragliche Cyber-Haftung?

Er ist der Hebel für Ersatzansprüche aus IT-Verträgen. Fällt nach einem Angriff ein System aus, weil der Dienstleister vereinbarte Sicherungen unterlassen hat, kann der Auftraggeber den Schaden über § 280 BGB verlangen; umgekehrt kann der Dienstleister haften, wenn der Auftraggeber Mitwirkungspflichten verletzt. Der genaue Pflichtenmaßstab ergibt sich aus dem Vertrag und der gebotenen Sorgfalt. [N-BGB-280]

Wie verhält sich § 280 BGB zur deliktischen Haftung?

Beide können nebeneinander bestehen. § 280 BGB setzt ein Schuldverhältnis voraus, die deliktische Haftung nach § 823 BGB nicht. Gegenüber einem Vertragspartner kommen häufig beide Anspruchsgrundlagen in Betracht; gegenüber Dritten ohne Vertragsbeziehung bleibt regelmäßig nur das Deliktsrecht. [N-BGB-280] [N-BGB-823]

Häufige Fehlannahmen

• „Für einen Schadensersatzanspruch muss ich dem Vertragspartner ein Verschulden nachweisen.“ Nein. § 280 Abs. 1 Satz 2 BGB kehrt die Beweislast um: Nicht der Gläubiger muss das Vertretenmüssen beweisen, sondern der Schuldner muss sich entlasten. [N-BGB-280]
• „Nur die Verletzung der Hauptleistungspflicht löst Schadensersatz aus.“ Nein. Auch die Verletzung von Neben- und Schutzpflichten ist eine Pflichtverletzung im Sinne des § 280 BGB. [N-BGB-280]
• „Ich kann sofort Schadensersatz statt der Leistung verlangen.“ Nicht ohne Weiteres. Nach § 280 Abs. 3 BGB gelten dafür die zusätzlichen Voraussetzungen der §§ 281 bis 283, etwa eine erfolglose Fristsetzung. [N-BGB-280]
• „Für das Verschulden meiner Subunternehmer hafte ich nicht.“ Doch. Das Verschulden von Erfüllungsgehilfen wird dem Schuldner wie eigenes zugerechnet. [N-BGB-280] [N-BGB-278]
• „Ohne Vertrag gibt es keinen Anspruch aus § 280 BGB.“ Nicht zwingend. § 280 BGB setzt ein Schuldverhältnis voraus, das auch gesetzlich oder vorvertraglich entstehen kann. [N-BGB-280]
• „Der Verzögerungsschaden ist automatisch mit ersetzt.“ Nein. Er setzt nach § 280 Abs. 2 BGB zusätzlich den Verzug voraus. [N-BGB-280]
• „Ein einmal eingetretener Schaden ist immer voll zu ersetzen.“ Nicht unbedingt. Ein Mitverschulden des Geschädigten kann den Ersatz mindern, und der Schuldner kann sich hinsichtlich des Vertretenmüssens entlasten. [N-BGB-280]

Was die Geschäftsleitung tun sollte

1. Pflichten vertraglich schärfen. Sicherheitsstandards, Patch-Zyklen und Meldewege in IT-Verträgen konkret vereinbaren, damit die Pflichtverletzung im Streitfall greifbar ist.
2. Dokumentation führen. Wegen der Beweislastumkehr lohnt es sich, die eigene Sorgfalt nachvollziehbar zu dokumentieren.
3. Fristen setzen. Für den Schadensersatz statt der Leistung ist regelmäßig eine Fristsetzung erforderlich; sie sollte rechtzeitig und beweisbar erfolgen.
4. Gehilfen sorgfältig auswählen. Da fremdes Verschulden zugerechnet wird, sind Auswahl und Steuerung von Subunternehmern haftungsrelevant.
5. Schaden früh beziffern. Nach einem Vorfall den Schaden und seine Kausalität zeitnah sichern und belegen.

Für die Geschäftsleitung

§ 280 BGB ist die Anspruchsgrundlage, an der sich vertragliche Cyber-Streitigkeiten entscheiden. Die Beweislastumkehr wirkt in beide Richtungen: Wer in Anspruch genommen wird, muss sich entlasten — und wer Ansprüche stellt, profitiert davon. Klare vertragliche Pflichten und eine belastbare Dokumentation sind deshalb die beste Vorsorge, sowohl in der Abwehr als auch in der Durchsetzung von Ersatzansprüchen.

Quellen

1. [N-BGB-280] § 280 BGB (Schadensersatz wegen Pflichtverletzung), Abs. 1 bis 3. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bgb/__280.html
2. [N-BGB-278] § 278 BGB (Verantwortlichkeit des Schuldners für Erfüllungsgehilfen). Geltende Fassung, Stand 11. Juli 2026 — hier zur Zurechnung fremden Verschuldens. Amtlich: https://www.gesetze-im-internet.de/bgb/__278.html
3. [N-BGB-823] § 823 BGB (Schadensersatzpflicht), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026 — hier zur Abgrenzung der deliktischen Haftung. Amtlich: https://www.gesetze-im-internet.de/bgb/__823.html