Für Schadensersatzansprüche nach § 82 Satz 1 SGB X i.V.m. § 7 BDSG ist im Gesetz keine betragsmäßige Obergrenze vorgesehen. Dagegen ist die Höhe des Schadensersatzanspruchs bei Ansprüchen nach § 82 Satz 2 SGB X i.V.m. § 8 Abs. 1 und 2 BDSG auf 130.000 Euro begrenzt; eine weitergehende Haftung nach anderen Vorschriften ist aber nicht ausgeschlossen.

Ist aufgrund desselben Schadensereignisses an mehrere Personen Schadensersatz zu leisten und wird dadurch der Haftungshöchstbetrag überschritten, verringern sich die Ersatzansprüche der Geschädigten im dem Verhältnis, in dem der Betrag ihres individuellen Schadens zum Höchstbetrag von 130.000 Euro steht. Diese weitere Einschränkung der Haftung nach § 82 Satz 2 SGB X i.V.m. § 8 BDSG führt unter Umständen dazu, dass die Höhe des Schadensersatzes deshalb erheblich geringer ausfällt, weil durch ein- und denselben unrichtigen oder unzulässigen Erhebungs-, Verarbeitungs- oder Nutzungsvorgang zugleich eine Vielzahl anderer Personen geschädigt worden ist: Wenn durch eine unzulässige Löschung vielen Personen ein Schaden entstanden ist, haftet die verantwortliche Stelle nicht jedem Geschädigten in seinem Fall bis zum Höchstbetrag, sondern allen Geschädigten mit nur einem Höchstbetrag, was zu einer willkürlichen Kürzung berechtigter Schadensersatzansprüche führen kann.

Bei Verbunddateien (Datenpool) haftet nach § 82 Satz 2 SGB X i.V.m. § 8 Abs. 4 BDSG jede der beteiligten Stellen, so dass der Betroffene nicht nach der im konkreten Fall für die Speicherung verantwortlichen Stelle forschen und sich nicht von einer Stelle zu einer anderen verweisen lassen muss. Mehrere schadensersatzpflichtige Stellen haften als Gesamtschuldner, d.h. der Betroffene kann sich eine der verantwortlichen Stellen aussuchen, die ihm den gesamten Schaden zu ersetzen hat. Die in Anspruch genommene Stelle muss sich dann im Innenverhältnis beim wirklichen Schadensverursacher schadlos halten.

Soweit es um Ansprüche aus unzulässiger oder unrichtiger nichtautomatisierter Erhebung, Verarbeitung oder Nutzung (z.B. in Akten) geht, entfällt die Ersatzpflicht, wenn die verantwortliche Stelle nachweist, dass ihr der schadenursächliche Umstand nicht angelastet werden kann (§ 82 Satz 1 SGB X i.V.m. § 7 Satz 2 BDSG).

Der Betroffene kann ferner keinen Schadensersatz verlangen, wenn die unrichtigen Daten auf seinen eigenen falschen Angaben beruhen oder wenn er gegenüber einer ihm bekannten unrichtigen Erhebung, Speicherung oder Nutzung keinen Berichtigungsanspruch geltend gemacht hat (§ 82 Satz 2 SGB X i.V.m. § 8 Abs. 5 BDSG).

Das BDSG bewegt sich auf der Ebene der für die Gefährdungshaftung einschlägigen Vorschriften, denn § 8 Abs. 6 BDSG verweist auf die für unerlaubte Handlungen geltenden Verjährungsvorschriften des BGB (vgl. §§ 195, 199 BGB). Daraus folgt, dass der Anspruch drei Jahre, nachdem der Betroffene Kenntnis vom Schaden erhalten und auch erfahren hat, welche öffentliche Stelle dafür verantwortlich ist, spätestens aber 30 Jahre nach der schadensstiftenden Handlung verjährt.