12. Juli 2026 · Fundstellen geprüft am 11. Juli 2026

Datenleck beim Lidl-Onlineshop: Was Sie jetzt wissen und tun sollten

In diesen Tagen liegt bei vielen Kundinnen und Kunden des Lidl-Onlineshops eine E-Mail im Postfach, die man zweimal liest: Es gab einen Datenschutzvorfall. Unbekannte haben sich bei einem IT-Dienstleister des Konzerns Zugang zu einer Datei mit Kundendaten verschafft und diese kopiert. Das berichtet heise online am 10. Juli 2026. Abgeflossen sind Anrede, Vor- und Nachname, Telefonnummer, E-Mail-Adresse, Geburtsdatum und Kundennummer.

Wenn Sie diese E-Mail bekommen haben, kennen Sie das Gefühl: Meine Daten sind jetzt irgendwo da draußen — und ich hole sie nicht zurück. Dieses Gefühl ist normal und berechtigt. Zwei Angaben des Unternehmens helfen trotzdem beim Durchatmen: Passwörter, Zahlungsdaten und Postanschriften sind nicht betroffen. Und die Kundenkonten selbst wurden nicht geknackt. Das Schlimmste, was viele befürchten, ist hier also gerade nicht passiert.

Warum bekomme ich diese E-Mail überhaupt?

Solche Benachrichtigungen schreibt die DSGVO vor, wenn ein Datenleck voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt (Art. 34 Abs. 1 DSGVO). Ob diese Schwelle hier erreicht war, wissen wir von außen nicht. Ernst nehmen sollten Sie die E-Mail in jedem Fall. Lidl hat nach eigenen Angaben außerdem die zuständige Datenschutzbehörde informiert, der Dienstleister hat Strafanzeige gestellt.

Welche Rechte haben Sie jetzt?

Auskunft: Sie können von dem Unternehmen verlangen, dass es Ihnen bestätigt, welche Daten es über Sie verarbeitet — mit einer Kopie dieser Daten (Art. 15 Abs. 1 und 3 DSGVO). So bekommen Sie schwarz auf weiß, was gespeichert ist, und behalten den Überblick.

Schadensersatz: Wem durch einen Verstoß gegen die DSGVO ein Schaden entsteht, der hat Anspruch auf Ersatz (Art. 82 Abs. 1 DSGVO). Das gilt auch für Schäden, die sich nicht direkt in Geld messen lassen — Juristen nennen das einen immateriellen Schaden. Der Europäische Gerichtshof hat dazu entschieden: Schon die Befürchtung, dass die eigenen Daten missbraucht werden könnten, kann für sich genommen ein solcher Schaden sein (EuGH, Urteil vom 14.12.2023 — C-340/21). Und der Bundesgerichtshof sieht bereits im Verlust der Kontrolle über die eigenen Daten einen möglichen Schaden (BGH, Urteil vom 18.11.2024 — VI ZR 10/24). Ihr Anspruch richtet sich dabei in erster Linie gegen das Unternehmen selbst. Es bleibt für Ihre Daten verantwortlich — auch wenn der Angriff bei einem Dienstleister passierte. Der Dienstleister haftet daneben nur, wenn er eigene Pflichten aus der DSGVO verletzt hat (Art. 82 Abs. 1 und 2 DSGVO). Haften beide, können Sie jeden von beiden auf den vollen Schaden in Anspruch nehmen (Art. 82 Abs. 4 DSGVO).

Zur ehrlichen Einordnung gehören zwei Sätze. Erstens: Für den bloßen Kontrollverlust sprechen die Gerichte überschaubare Beträge zu. In den Facebook-Scraping-Fällen ging es um eine Größenordnung von etwa 100 Euro (BGH, Urteil vom 18.11.2024 — VI ZR 10/24). Zweitens: Der Anspruch setzt einen Verstoß voraus. Und das Unternehmen kann sich entlasten, wenn es nachweist, dass es für den Vorfall in keiner Weise verantwortlich ist (Art. 82 Abs. 3 DSGVO). Ob die Schutzmaßnahmen ausreichten, lässt sich von außen nicht beurteilen. Anders sieht die Rechnung aus, wenn aus dem Leck echter Missbrauch wird — etwa Bestellungen oder Verträge in Ihrem Namen. Dann geht es um konkrete, bezifferbare Schäden. Genau deshalb lohnt es sich, jetzt sauber zu dokumentieren.

Die eigentliche Gefahr kommt später: die täuschend echte Mail

Name, Geburtsdatum, Telefonnummer, Kundennummer — für sich genommen klingt das harmlos. In den Händen von Kriminellen ist es Material für Phishing: Nachrichten, die echt aussehen und Sie zu einem Fehler verleiten sollen. Eine Betrugs-Mail, die Sie mit korrektem Namen anspricht und Ihre echte Kundennummer nennt, wirkt täuschend seriös. Lidl selbst empfiehlt Betroffenen deshalb, wachsam gegenüber Phishing und Identitätsmissbrauch zu sein.

„Das Leck selbst ist selten der Schaden. Der Schaden entsteht später, wenn die täuschend echte Mail kommt — und in einer schwachen Minute jemand klickt“, sagt Rechtsanwalt Sebastian Müller.

Die Muster sind erkennbar, wenn man sie einmal benannt hat. Drei Beispiele: künstliche Dringlichkeit („Ihr Konto wird in 24 Stunden gesperrt“). Eine Drohkulisse („letzte Mahnung“). Oder ein Köder („Als Entschädigung für den Vorfall erhalten Sie einen Gutschein“). Gerade die Entschädigungs-Masche passt perfekt zu einem echten Datenleck. Dagegen helfen drei einfache Verhaltensregeln. Loggen Sie sich nie über einen Link aus einer E-Mail oder SMS ein — tippen Sie die Adresse selbst in den Browser. Bestätigen oder ergänzen Sie am Telefon keine persönlichen Daten, auch wenn der Anrufer schon vieles über Sie weiß. Und wenn Sie unsicher sind, hilft ein einziger Satz: „Ich rufe selbst zurück.“ Dann auflegen und die Nummer selbst heraussuchen.

Ihre Angaben — direkt als Anfrage an uns

Optional: Beantworten Sie, was auf Sie zutrifft — mit einem Klick geht Ihre Schilderung als Anfrage an den Anwalt.

Wann haben Sie von dem Datenleck erfahren?
Haben Sie eine Benachrichtigung erhalten (z. B. per E-Mail)?
Ja Nein Unsicher
Welche Ihrer Daten sind betroffen, soweit Sie es wissen?
Ist Ihnen dadurch schon ein Schaden entstanden (Betrugsversuch, Phishing, unbekannte Abbuchung)?
Ja Nein Noch nicht
Worum geht es Ihnen — was möchten Sie erreichen?

Gesetze und Urteile zum Nachlesen

Was bedeutet das für Ihren Fall?

Schildern Sie kurz Ihre Lage — Sie erhalten eine kostenfreie Ersteinschätzung von Rechtsanwalt Müller. Schriftlich, zum Nachlesen.

Kostenfreie Ersteinschätzung anfordern

Kostenfrei · 5–8 kurze Fragen · vertraulich, auch wenn kein Mandat entsteht