EuGH: Schon die Angst vor Datenmissbrauch kann ein Schaden sein

Nach Cyberangriffen und Datenlecks fragen Betroffene regelmäßig, ob sie Schadensersatz verlangen können, auch wenn mit ihren Daten (noch) nichts passiert ist. Der Gerichtshof der Europäischen Union hat dazu mit Urteil vom 14. Dezember 2023 (Rs. C-340/21) wichtige Antworten gegeben. Das Urteil betrifft zugleich die Frage, wann ein Unternehmen für einen Hackerangriff haftet, und erhöht die Anforderungen an die Dokumentation der IT-Sicherheit.

Der Fall

Bei einem Cyberangriff auf die bulgarische Nationale Agentur für Einnahmen waren personenbezogene Daten von Millionen Menschen erbeutet und im Internet veröffentlicht worden. Eine Betroffene verlangte Ersatz ihres immateriellen Schadens: Sie befürchte, dass ihre Daten künftig missbraucht werden könnten. Das bulgarische Oberste Verwaltungsgericht legte dem EuGH mehrere Fragen vor.

Die Kernaussagen

• Allein aus der Tatsache, dass Dritte unbefugt auf Daten zugegriffen haben, kann nicht geschlossen werden, dass die technischen und organisatorischen Maßnahmen des Verantwortlichen nicht geeignet waren.
• Die nationalen Gerichte müssen die Geeignetheit der Maßnahmen konkret prüfen und dürfen sich nicht auf eine pauschale Bewertung beschränken.
• Das Unternehmen muss nachweisen, dass seine Maßnahmen geeignet waren. Ein Sachverständigengutachten ist dafür nicht in jedem Fall zwingend oder ausreichend.
• Der Verantwortliche wird nicht schon deshalb von der Haftung befreit, weil der Schaden durch Cyberkriminelle verursacht wurde. Er muss nachweisen, dass er in keinerlei Hinsicht für den Schaden verantwortlich ist.
• Bereits die Befürchtung einer betroffenen Person, ihre Daten könnten von Dritten missbräuchlich verwendet werden, kann für sich genommen einen immateriellen Schaden darstellen. Das Gericht muss allerdings prüfen, ob diese Befürchtung unter den gegebenen Umständen als begründet angesehen werden kann.

Einordnung

Das Urteil knüpft an die Grundsatzentscheidung zur Österreichischen Post an: Ein Verstoß allein genügt nicht, eine Erheblichkeitsschwelle gibt es aber nicht. Nun stellt der EuGH klar, dass auch ohne tatsächlichen Missbrauch ein Schaden vorliegen kann, wenn die Angst vor Missbrauch nachvollziehbar ist. Für Betroffene erleichtert das die Durchsetzung von Ansprüchen nach Datenlecks deutlich.

Was bedeutet das für Unternehmen?

Unternehmen tragen nach einem Cyberangriff die Beweislast dafür, dass ihre Sicherheitsmaßnahmen angemessen waren. Das hat praktische Konsequenzen:

• Sicherheitsmaßnahmen müssen nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert sein.
• Regelmäßige Überprüfungen, Penetrationstests und Updates sollten protokolliert werden.
• Nach einem Vorfall ist eine sorgfältige Aufarbeitung wichtig, auch im Hinblick auf mögliche Schadensersatzprozesse. Zu den Sofortmaßnahmen siehe unseren Leitfaden zur Datenpanne.

Was bedeutet das für Betroffene?

Wer von einem Datenleck betroffen ist, sollte dokumentieren, welche Daten betroffen sind, welche Benachrichtigungen er erhalten hat und welche konkreten Sorgen oder Folgen aufgetreten sind, etwa verdächtige E-Mails oder Anrufe. Je konkreter die Befürchtung begründet werden kann, desto besser stehen die Chancen auf Schadensersatz.

Ein Hackerangriff ist kein Haftungsfreibrief; es kommt darauf an, ob angemessen vorgesorgt wurde. Wir beraten Betroffene von Datenlecks ebenso wie Unternehmen, die nach einem Cyberangriff in Anspruch genommen werden. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.