Das Konto ist unangetastet, doch die Angst bleibt. Kein Cent verschwunden – und trotzdem ein Fall für Schadensersatz?

Betroffene können bei Angst vor künftigem Datenmissbrauch nach einem Datenleck Anspruch auf immateriellen Schadenersatz gemäß DSGVO haben. Symbolfoto: KI

---

Zum vorliegenden Urteilstext springen: C-340/21

Wann gibt es Schadenersatz nach einem Datenleck?

Gemäß Art. 82 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) hat jede Person Anspruch auf eine angemessene Entschädigung, wenn ihr durch einen Verstoß gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist. Ein solcher Schadenersatzanspruch setzt zwingend voraus, dass der Verantwortliche gegen seine datenschutzrechtlichen Pflichten verstoßen hat, beispielsweise gegen Art. 5, 24 oder 32 DSGVO. Allerdings sieht das Gesetz auch eine Ausnahme vor. Der Verantwortliche kann nach Art. 82 Abs. 3 DSGVO von der Haftung befreit werden, wenn er den Nachweis erbringt, dass er für den Schadenseintritt absolut nicht verantwortlich ist.

Der Begriff „Verantwortlicher“ bezeichnet im Datenschutzrecht die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Datenverarbeitung entscheidet. In der Praxis ist das meist das Unternehmen oder die Behörde, bei der Ihre Daten gespeichert werden.

Wurden Ihre Daten bei einem Datenleck offengelegt, sollten Sie den Vorfall und alle erkennbaren Folgen sorgfältig dokumentieren: Welche Informationen waren betroffen? Haben Sie Benachrichtigungen, verdächtige Kontakte oder konkrete Nachteile erlitten? Halten Sie Screenshots, Schreiben und Nachrichten fest. Der Schadenersatzanspruch besteht sowohl bei finanziellen Verlusten als auch bei immateriellen Schäden wie Angst oder Rufschädigung.

Wie streng die europäischen Richter diese Haftungsausnahme auslegen, zeigt ein Cyberangriff auf die bulgarische Finanzbehörde NAP im Juli 2019. Bei diesem Vorfall drangen Unbefugte in das IT-System der Einrichtung ein und veröffentlichten die personenbezogenen Daten von mehr als sechs Millionen Menschen im Internet. Eine der betroffenen Frauen zog vor Gericht und forderte eine Entschädigung in Höhe von 1.000 bulgarischen Lewa – umgerechnet etwa 510 Euro – wegen eines immateriellen Schadens. Der Europäische Gerichtshof (EuGH) befasste sich unter dem Aktenzeichen C-340/21 mit dem Fall und bestätigte eine verbraucherfreundliche Auslegung der Datenschutzregeln, überließ die endgültige Entscheidung zur Zahlung der Schadensersatzsumme jedoch dem nationalen Gericht. Die Luxemburger Richter stellten klar, dass ein Cyberangriff durch externe Dritte die gehackte Behörde nicht automatisch von der Haftung befreit.

Dass der EuGH über einen bulgarischen Einzelfall entscheidet, liegt am sogenannten Vorabentscheidungsverfahren: Wenn ein nationales Gericht unsicher ist, wie eine EU-Vorschrift auszulegen ist, kann es den EuGH um eine verbindliche Klärung bitten. Der EuGH interpretiert dann das EU-Recht, das nationale Gericht fällt anschließend das konkrete Urteil.

Wer trägt die Beweislast für die Datensicherheit?

Nach den Grundsätzen der Art. 5 Abs. 2, Art. 24 Abs. 1 und Art. 32 Abs. 1 DSGVO liegt die Beweislast für den ordnungsgemäßen Umgang mit personenbezogenen Daten aufseiten des Verantwortlichen. Das betroffene Unternehmen oder die Behörde muss aktiv beweisen, dass die getroffenen technischen und organisatorischen Schutzmaßnahmen geeignet und angemessen waren. Diese Beweislastverteilung gilt ausdrücklich auch in zivilrechtlichen Schadenersatzprozessen nach Art. 82 DSGVO. Betroffene Personen müssen folglich nicht mühsam nachweisen, welche internen Sicherheitslücken zu dem Datenabfluss geführt haben.

Der in Art. 5 Abs. 2 der Verordnung 2016/679 formulierte und in Art. 24 dieser Verordnung konkretisierte Grundsatz der Rechenschaftspflicht des Verantwortlichen ist dahin auszulegen, dass im Rahmen einer auf Art. 82 der Verordnung gestützten Schadenersatzklage der für die betreffende Verarbeitung Verantwortliche die Beweislast dafür trägt, dass die von ihm getroffenen Sicherheitsmaßnahmen im Sinne von Art. 32 dieser Verordnung geeignet waren. – so der Europäische Gerichtshof

Unter „technischen und organisatorischen Schutzmaßnahmen“ versteht man alle Vorkehrungen, die ein Unternehmen trifft, um Daten zu sichern. Dazu zählen technische Lösungen wie Verschlüsselung und Zugangskontrollen ebenso wie organisatorische Regeln, etwa Schulungen der Mitarbeiter oder interne Notfallpläne.

Für Sie als betroffene Person bedeutet das: Sie müssen vor Gericht nicht aufwendig recherchieren, welche Sicherheitslücke das Unternehmen oder die Behörde zu verantworten hat. Konzentrieren Sie sich stattdessen darauf, Ihren eigenen Schaden glaubhaft zu machen – etwa durch die Benachrichtigung über das Datenleck, Nachweise über emotionale Belastung oder konkrete Folgen wie Spam, Betrugsversuche oder Identitätsdiebstahl.

Schadensersatz beim Datenleck: Die Rechte Betroffener

Der Streit um diese Beweispflicht prägte das Verfahren vor den bulgarischen Instanzen stark. Das erstinstanzliche Verwaltungsgericht der Stadt Sofia (Administrativen sad Sofia-grad) hatte die Klage der Frau am 27.11.2020 zunächst mit der Begründung abgewiesen, sie habe nicht nachgewiesen, dass die Finanzbehörde notwendige Sicherheitsmaßnahmen unterlassen habe. Gegen diese Entscheidung wehrte sich die Bürgerin vor dem Obersten Verwaltungsgericht Bulgariens (Varhoven administrativen sad) und rügte die fehlerhafte Verteilung der Beweislast. Der Europäische Gerichtshof bestätigte ihre Ansicht und urteilte, dass die Behörde ihre Sicherheitsvorkehrungen beweisen muss, um sich zu entlasten, und nicht das Opfer des Vorfalls erbringen muss.

Wann ist die Angst vor künftigem Datenmissbrauch ein Schaden?

Der Begriff des Schadens in Art. 82 Abs. 1 DSGVO ist weit auszulegen, was auch der Erwägungsgrund 146 der europäischen Verordnung nahelegt. Die bloße Befürchtung einer betroffenen Person, dass ihre abgeflossenen Daten in der Zukunft missbräuchlich verwendet werden könnten, kann rechtlich bereits einen immateriellen Schaden darstellen. Einen Automatismus für Entschädigungen gibt es dabei jedoch nicht. Die nationalen Gerichte müssen stets prüfen, ob diese persönliche Angst unter den konkreten Umständen und bezogen auf die betroffene Person begründet ist.

Art. 82 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass allein der Umstand, dass eine betroffene Person infolge eines Verstoßes gegen diese Verordnung befürchtet, dass ihre personenbezogene Daten durch Dritte missbräuchlich verwendet werden könnten, einen „immateriellen Schaden“ im Sinne dieser Bestimmung darstellen kann. – so der Europäische Gerichtshof

Erwägungsgründe sind die einleitenden Sätze einer EU-Verordnung, die den Sinn und Zweck der einzelnen Artikel erläutern. Sie sind zwar selbst keine unmittelbar geltenden Rechtsnormen, werden von Gerichten aber regelmäßig zur Auslegung der verbindlichen Artikel herangezogen.

Wenn Sie nach einem Datenleck Angst vor künftigen Missbrauch haben, dokumentieren Sie konkret, warum diese Sorge berechtigt ist: Um welche Datenkategorien handelt es sich (Gesundheitsdaten, Finanzinformationen, Adressen)? Welche realistischen Szenarien sind damit möglich? Je spezifischer Sie den Zusammenhang zwischen Ihren abgeflossenen Daten und Ihrem persönlichen Risiko darlegen, desto höher sind die Chancen auf Anerkennung als immaterieller Schaden.

Die Argumentation der betroffenen Bürgerin liefert ein greifbares Beispiel für derartige Ängste nach einem weitreichenden Leak. Sie untermauerte ihre Forderung nach finanziellem Ausgleich mit der ernsthaften Sorge vor Erpressung, Angriffen, einer Entführung oder einer anderweitigen missbräuchlichen Verwendung ihrer nun offen im Internet abrufbaren Informationen. Die Finanzbehörde bestritt jeglichen Kausalzusammenhang zwischen dem Hackerangriff und dem von der Frau behaupteten emotionalen Schaden. Der EuGH wies diese generelle Abwehrhaltung zurück und entschied unter Verweis auf Erwägungsgrund 85 der DSGVO, dass bereits der Verlust der Kontrolle über personenbezogene Daten ausreichen kann, um einen durchsetzbaren immateriellen Schaden zu begründen.

Wie prüfte der EuGH Sicherheitsmaßnahmen?

Die Geeignetheit technischer und organisatorischer Sicherheitsmaßnahmen richtet sich nach Art. 24 und 32 DSGVO und orientiert sich am Stand der Technik, den Implementierungskosten sowie der Art und den potenziellen Risiken einer Datenverarbeitung. Nationale Richter müssen diese Geeignetheit in einem zweistufigen Prozess untersuchen: Im ersten Schritt ermitteln sie die konkreten Risiken und deren Folgen, danach bewerten sie die Angemessenheit der tatsächlichen Umsetzung im Betrieb. Ein gerichtliches Sachverständigengutachten ist dabei laut den europäischen Regeln kein zwingend notwendiges oder automatisch hinreichendes Beweismittel.

„Stand der Technik“ bedeutet im Datenschutzrecht nicht die teuerste oder neueste Technologie, sondern die aktuell am Markt etablierten und bewährten Sicherheitsverfahren. Welche Maßnahmen konkret erforderlich sind, hängt von der Branche, der Unternehmensgröße und der Sensibilität der verarbeiteten Daten ab.

Bei dem Diebstahl aus den Systemen der bulgarischen Behörde versuchte die Leitungseinrichtung, ihre Sorgfaltsbemühungen mit detaillierten Dokumenten zu untermauern. Diese Papiere sollten belegen, dass die Verantwortlichen nach dem Angriff sämtliche Maßnahmen zur Prävention und zur Begrenzung der massiven Folgeschäden ergriffen hatten.

Sorgfalt lässt sich nicht allein durch Papiere beweisen

Der Europäische Gerichtshof erklärte in seiner Entscheidung unmissverständlich, dass allein die Tatsache eines unbefugten Zugriffs nicht ausreicht, um die Maßnahmen der Einrichtung in jedem Fall als ungeeignet einzustufen. Die europäischen Vorgaben verpflichten Datenverarbeiter nicht zu absoluter Fehlerfreiheit, sondern nur dazu, Vorfälle so weit wie möglich zu verhindern.

Pflicht zur tiefgehenden Analyse

Zugleich forderten die Richter eine tiefgehende materielle Prüfung aller verfügbaren Beweismittel durch das zuständige nationale Gericht. Das bulgarische Gericht dürfe sich bei seinem Urteil nicht darauf beschränken festzustellen, wie die Behörde ihre Pflichten theoretisch erfüllen wollte. Damit die Behörde durch den Cyberangriff der Hacker gänzlich aus der Haftung entlassen wird, muss sie nachweisen, dass in keinerlei Hinsicht ein Kausalzusammenhang zwischen einem etwaigen eigenen Datenschutzverstoß und dem entstandenen Datenabfluss besteht.

Was heißt das für Datenleck-Opfer?

Der Europäische Gerichtshof hat mit dieser Entscheidung (C-340/21) eine bindende Auslegung der DSGVO für alle EU-Mitgliedstaaten vorgelegt. Das Urteil ist kein Einzelfall: Jede Organisation, die personenbezogene Daten verarbeitet, kann sich nach einem Cyberangriff nicht mehr automatisch auf höhere Gewalt berufen. Sie muss gerichtlich nachweisen, dass ihre Sicherheitsmaßnahmen dem Stand der Technik entsprachen – und dass der Angriff selbst bei bestmöglicher Vorsorge unvermeidbar war.

„Höhere Gewalt“ bezeichnet im Recht ein unvorhersehbares Ereignis, das sich auch bei äußerster Sorgfalt nicht verhindern lässt – etwa eine Naturkatastrophe oder ein kriegerischer Angriff. Der EuGH stellt klar: Cyberangriffe zählen nicht automatisch dazu, denn Unternehmen müssen heute mit Hackerattacken rechnen und entsprechende Vorkehrungen treffen.

Für Betroffene eines Datenlecks heißt das: Sie haben gute Aussichten auf Schadenersatz, wenn Sie Ihren Schaden – ob finanziell oder als begründete Zukunftsangst – konkret darlegen. Wenden Sie sich an einen auf Datenschutz spezialisierten Anwalt, sobald Sie von einem Datenleck erfahren. Die Beweislast liegt beim datenverarbeitenden Unternehmen, nicht bei Ihnen. Achten Sie auf Verjährungsfristen: Schadenersatzansprüche nach Art. 82 DSGVO verjähren in der Regel nach drei Jahren ab Kenntnis des Schadens.

---

---

---

---

Das vorliegende Urteil

---

Az.: C-340/21 – Urteil vom 14.12.2023

---

* Der vollständige Urteilstext wurde ausgeblendet, um die Lesbarkeit dieses Artikels zu verbessern. Klicken Sie auf den folgenden Link, um den vollständigen Text einzublenden.

→ Lesen Sie hier den vollständigen Urteilstext…

Hinweis: Informationen in unserem Internetangebot dienen lediglich Informationszwecken. Sie stellen keine Rechtsberatung dar und können eine individuelle rechtliche Beratung auch nicht ersetzen, welche die Besonderheiten des jeweiligen Einzelfalles berücksichtigt. Ebenso kann sich die aktuelle Rechtslage durch aktuelle Urteile und Gesetze zwischenzeitlich geändert haben. Benötigen Sie eine rechtssichere Auskunft oder eine persönliche Rechtsberatung, kontaktieren Sie uns bitte.

Unsere Kontaktinformationen