Entsteht dem Betroffenen aufgrund einer rechtswidrigen Datenverarbeitung ein Schaden und hat diesen das Unternehmen zu verantworten, muss dieses den Schaden ersetzen.

Der Betroffene muss nach der Rechtsprechung des Europäischen Gerichtshofes nicht nachweisen können, dass das Unternehmen den Schaden verursacht hat. Er muss aber in der Lage sein, den Schaden konkret darzulegen und auch die Rechtswidrigkeit der Handlung erläutern können. Das Unternehmen kann sich umgekehrt entlasten, indem es nachweist, dass es den Schaden nicht zu verantworten hat.

Ersatzpflichtig sind sowohl materielle als auch immaterielle Schäden, also neben z.b. physischen Schäden auch eine Rufschädigung.

Im Vergleich zu Bußgeldern, die von einer Behörde verhängt werden können, sind die bisher von Gerichten bewilligten Schadensersatzsummen relativ niedrig. Gleichwohl können sich die Schäden einzelner von derselben Verarbeitung betroffener Personen zu einer hohen Gesamtsumme addieren. Betroffene können Verbraucherschutz- oder andere gemeinnützige Organisationen mit der Geltendmachung von Schadensersatz beauftragen.