Zum vorliegenden Urteilstext springen: C-340/21
Das Wichtigste im Überblick
EuGH stärkt Betroffene nach Datenleck: Beweislast liegt beim Verantwortlichen, Angst kann Schaden sein.
- Der EuGH schützte die Klägerin und stützte ihre Schadenersatzklage nach Datenleck.
- Ein Hackerangriff allein beweist keine schlechten Sicherheitsmaßnahmen der Behörde.
- Die Behörde muss zeigen, dass ihre Schutzmaßnahmen passend und wirksam waren.
- Auch Angst vor späterem Datenmissbrauch kann als immaterieller Schaden zählen.
- Gericht: EuGH
- Datum: 14.12.2023
- Aktenzeichen: C-340/21
- Verfahren: Vorabentscheidung
- Rechtsbereiche: Datenschutzrecht, Schadensersatzrecht
- Relevant für: Behörden, Unternehmen, Betroffene nach Cyberangriffen
Wann gibt es Schadenersatz nach einem Datenleck?
Gemäß Art. 82 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) hat jede Person Anspruch auf eine angemessene Entschädigung, wenn ihr durch einen Verstoß gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist. Ein solcher Schadenersatzanspruch setzt zwingend voraus, dass der Verantwortliche gegen seine datenschutzrechtlichen Pflichten verstoßen hat, beispielsweise gegen Art. 5, 24 oder 32 DSGVO. Allerdings sieht das Gesetz auch eine Ausnahme vor. Der Verantwortliche kann nach Art. 82 Abs. 3 DSGVO von der Haftung befreit werden, wenn er den Nachweis erbringt, dass er für den Schadenseintritt absolut nicht verantwortlich ist.
Der Begriff „Verantwortlicher“ bezeichnet im Datenschutzrecht die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Datenverarbeitung entscheidet. In der Praxis ist das meist das Unternehmen oder die Behörde, bei der Ihre Daten gespeichert werden.
Wurden Ihre Daten bei einem Datenleck offengelegt, sollten Sie den Vorfall und alle erkennbaren Folgen sorgfältig dokumentieren: Welche Informationen waren betroffen? Haben Sie Benachrichtigungen, verdächtige Kontakte oder konkrete Nachteile erlitten? Halten Sie Screenshots, Schreiben und Nachrichten fest. Der Schadenersatzanspruch besteht sowohl bei finanziellen Verlusten als auch bei immateriellen Schäden wie Angst oder Rufschädigung.
Wie streng die europäischen Richter diese Haftungsausnahme auslegen, zeigt ein Cyberangriff auf die bulgarische Finanzbehörde NAP im Juli 2019. Bei diesem Vorfall drangen Unbefugte in das IT-System der Einrichtung ein und veröffentlichten die personenbezogenen Daten von mehr als sechs Millionen Menschen im Internet. Eine der betroffenen Frauen zog vor Gericht und forderte eine Entschädigung in Höhe von 1.000 bulgarischen Lewa – umgerechnet etwa 510 Euro – wegen eines immateriellen Schadens. Der Europäische Gerichtshof (EuGH) befasste sich unter dem Aktenzeichen C-340/21 mit dem Fall und bestätigte eine verbraucherfreundliche Auslegung der Datenschutzregeln, überließ die endgültige Entscheidung zur Zahlung der Schadensersatzsumme jedoch dem nationalen Gericht. Die Luxemburger Richter stellten klar, dass ein Cyberangriff durch externe Dritte die gehackte Behörde nicht automatisch von der Haftung befreit….