Genügt der Diebstahl persönlicher Daten, damit Betroffene vom Betreiber einer gehackten Trading App Schadenersatz fordern können? Oder müssen sie dafür konkrete Schäden nachweisen, zum Beispiel Identitätsdiebstahl? Dazu hat sich vor kurzem der Europäische Gerichtshof geäußert. Das Urteil ist für alle Unternehmen wichtig, die Daten von Kunden oder Interessenten speichern, wie E-Commerce-Anbieter und Shop-Betreiber.
Gleichzeitig ist die Frage nach der Haftpflicht für Datenschutzverletzungen nur ein Aspekt des Cyber-Risikos. Bei Online-Angriffen drohen auch immense Eigenschäden durch Betriebsunterbrechung und Neuinstallation. Zum Glück können beide Schadensarten versichert werden: durch Haftpflicht- und Cyber-Versicherungen.
Diebstahl persönlicher Daten als immaterieller Schaden?
Die Artikel 82 der Datenschutz-Grundverordnung ist eindeutig: Wer für einen Datenschutzverstoß verantwortlich ist, muss den Betroffenen Schadenersatz leisten. Das gilt für materielle Schäden, etwa durch Einkäufe mit gestohlener Identität. Es betrifft außerdem immaterielle Schäden wie Verletzungen des Persönlichkeitsrechts durch Veröffentlichung von Privatinformationen. Zahlen müssen nicht nur die Cyber-Kriminellen, die ohnehin selten gefasst werden. Auch die Betreiber gehackter Plattformen haften für mangelnde Sicherheitsmaßnahmen.
Ein Streitpunkt war lange, ob bereits der Datendiebstahl selbst zu einem immateriellen Schaden führt, weil die Besitzer der Daten in Sorge vor möglichem Missbrauch leben müssen. Das machten zwei Nutzer der Trading-App von Scalable Capital geltend, nachdem Hacker sich 2020 bei dem Online-Broker Zugriff auf viele Tausend Datensätze verschafft hatten. Zwei der Betroffenen klagten vor dem Amtsgericht München. Das Amtsgericht hatte Fragen zu dem Fall, die es dem Europäischen Gerichtshof vorlegte.
Schadenersatz nach einem Online-Angriff: Der EuGH nimmt Stellung
Der EuGH entschied, dass der Schadenersatz keine Straffunktion hat. Ausmaß und möglicher Vorsatz bei Datenschutzversäumnissen spielen für die Schadenersatzhöhe keine Rolle. Zwar wiegt der immaterielle Schaden durch Datendiebstahl per se nicht weniger schwer als etwa eine Körperverletzung. Allerdings genügt laut EuGH bei einem geringfügigen Schaden bereits ein symbolischer Schadenersatz. Und ein Identitätsdiebstahl, der eine entsprechende größere Schädigung belegen würde, liegt erst vor, wenn die gestohlenen Personendaten tatsächlich missbraucht werden.
Das Urteil stärkt einerseits die Rechte der Opfer von Datendiebstahl: auch ihre immateriellen Schäden müssen ersetzt werden und können zu Schmerzensgeld berechtigen. Andererseits liefert es keine Grundlage, um schon beim reinen Abfluss personenbezogener Daten Schadenersatz zu fordern. Dafür muss eine materielle oder immaterielle Schädigung belegt werden (EuGH, 20.06.2024 - C-182/22 und C-189/22).
In einem anderen Verfahren hatte das Landgericht München I einem Kunden von Scalable aufgrund des Diebstahls seiner Daten 2.500 Euro Schmerzensgeld zugesprochen. Inzwischen ist dieser Fall beim Oberlandesgericht anhängig (OLG München - 36 U 138/22).
Datenschutz-Haftung ist nur ein Aspekt: Was ist mit den Eigenschäden?
Die EuGH-Urteil findet medial große Beachtung. Die Haftung für gestohlene Daten gilt zurecht als brisant. Trotzdem kämpfen Unternehmen, die Opfer von Hackern werden, regelmäßig mit einem weiteren, mindestens ebenso großen Problem: den Eigenschäden durch wochenlange Betriebsunterbrechung, Image-Verlust, nicht erfüllte Verträge und teurer Neuinstallation der betrieblichen IT.
Viele Unternehmen sind gegen Schadenersatzpflichten durch Haftpflichtversicherungen ausreichend geschützt - dem Risiko, dass der EuGH in Bezug auf DSGVO-Verstöße ein Stück weit begrenzt hat. Gleichzeitig haben zahlreiche Betriebe weiterhin keine Cyber-Versicherung - und damit keine Deckung für die Eigenschäden, die ihnen durch Online-Kriminelle jederzeit entstehen können.
Im Berlin Capital Club: Business-Talk-Frühstück mit dem Ethical Hacker Immanuel Bär
Im Berlin Capital Club findet am Dienstag, den 10. September 2024 von 09:00 bis 10:30 ein Business-Talk-Frühstück mit Immanuel Bär statt. Der Mitgründer der Prosec GmbH prüft durch Sicherheits-Scans und Penetration Testing, ob die IT-Systeme von Unternehmen möglichen Angreifern standhalten. Die Tests im Kundenauftrag sind realistisch, aber gefahrlos.
Gemeinsam mit Frank Schwandt, Berliner Fachmakler für Cyber-Versicherungsschutz, stellt Immanuel Bär beim Business-Talk-Frühstück seine Arbeit vor. Er wird zeigen, wie Cyber-Sicherheit in der Praxis möglich ist. Und er wird auf das persönliche Haftungsrisiko eingehen, das die EU-Richtlinie zur Cyber-Sicherheit (NIS2) für Geschäftsführer bedeutet: sie haften persönlich für eine angemessene IT-Sicherheit.
Die Anmeldung zum Business-Talk-Frühstück mit Immanuel Bär und acant-Geschäftsführer Frank Schwandt ist unter events@berlincapitalclub.de oder unter +49 30 2062976 möglich.
Gleichzeitig ist die Frage nach der Haftpflicht für Datenschutzverletzungen nur ein Aspekt des Cyber-Risikos. Bei Online-Angriffen drohen auch immense Eigenschäden durch Betriebsunterbrechung und Neuinstallation. Zum Glück können beide Schadensarten versichert werden: durch Haftpflicht- und Cyber-Versicherungen.
Diebstahl persönlicher Daten als immaterieller Schaden?
Die Artikel 82 der Datenschutz-Grundverordnung ist eindeutig: Wer für einen Datenschutzverstoß verantwortlich ist, muss den Betroffenen Schadenersatz leisten. Das gilt für materielle Schäden, etwa durch Einkäufe mit gestohlener Identität. Es betrifft außerdem immaterielle Schäden wie Verletzungen des Persönlichkeitsrechts durch Veröffentlichung von Privatinformationen. Zahlen müssen nicht nur die Cyber-Kriminellen, die ohnehin selten gefasst werden. Auch die Betreiber gehackter Plattformen haften für mangelnde Sicherheitsmaßnahmen.
Ein Streitpunkt war lange, ob bereits der Datendiebstahl selbst zu einem immateriellen Schaden führt, weil die Besitzer der Daten in Sorge vor möglichem Missbrauch leben müssen. Das machten zwei Nutzer der Trading-App von Scalable Capital geltend, nachdem Hacker sich 2020 bei dem Online-Broker Zugriff auf viele Tausend Datensätze verschafft hatten. Zwei der Betroffenen klagten vor dem Amtsgericht München. Das Amtsgericht hatte Fragen zu dem Fall, die es dem Europäischen Gerichtshof vorlegte.
Schadenersatz nach einem Online-Angriff: Der EuGH nimmt Stellung
Der EuGH entschied, dass der Schadenersatz keine Straffunktion hat. Ausmaß und möglicher Vorsatz bei Datenschutzversäumnissen spielen für die Schadenersatzhöhe keine Rolle. Zwar wiegt der immaterielle Schaden durch Datendiebstahl per se nicht weniger schwer als etwa eine Körperverletzung. Allerdings genügt laut EuGH bei einem geringfügigen Schaden bereits ein symbolischer Schadenersatz. Und ein Identitätsdiebstahl, der eine entsprechende größere Schädigung belegen würde, liegt erst vor, wenn die gestohlenen Personendaten tatsächlich missbraucht werden.
Das Urteil stärkt einerseits die Rechte der Opfer von Datendiebstahl: auch ihre immateriellen Schäden müssen ersetzt werden und können zu Schmerzensgeld berechtigen. Andererseits liefert es keine Grundlage, um schon beim reinen Abfluss personenbezogener Daten Schadenersatz zu fordern. Dafür muss eine materielle oder immaterielle Schädigung belegt werden (EuGH, 20.06.2024 - C-182/22 und C-189/22).
In einem anderen Verfahren hatte das Landgericht München I einem Kunden von Scalable aufgrund des Diebstahls seiner Daten 2.500 Euro Schmerzensgeld zugesprochen. Inzwischen ist dieser Fall beim Oberlandesgericht anhängig (OLG München - 36 U 138/22).
Datenschutz-Haftung ist nur ein Aspekt: Was ist mit den Eigenschäden?
Die EuGH-Urteil findet medial große Beachtung. Die Haftung für gestohlene Daten gilt zurecht als brisant. Trotzdem kämpfen Unternehmen, die Opfer von Hackern werden, regelmäßig mit einem weiteren, mindestens ebenso großen Problem: den Eigenschäden durch wochenlange Betriebsunterbrechung, Image-Verlust, nicht erfüllte Verträge und teurer Neuinstallation der betrieblichen IT.
Viele Unternehmen sind gegen Schadenersatzpflichten durch Haftpflichtversicherungen ausreichend geschützt - dem Risiko, dass der EuGH in Bezug auf DSGVO-Verstöße ein Stück weit begrenzt hat. Gleichzeitig haben zahlreiche Betriebe weiterhin keine Cyber-Versicherung - und damit keine Deckung für die Eigenschäden, die ihnen durch Online-Kriminelle jederzeit entstehen können.
Im Berlin Capital Club: Business-Talk-Frühstück mit dem Ethical Hacker Immanuel Bär
Im Berlin Capital Club findet am Dienstag, den 10. September 2024 von 09:00 bis 10:30 ein Business-Talk-Frühstück mit Immanuel Bär statt. Der Mitgründer der Prosec GmbH prüft durch Sicherheits-Scans und Penetration Testing, ob die IT-Systeme von Unternehmen möglichen Angreifern standhalten. Die Tests im Kundenauftrag sind realistisch, aber gefahrlos.
Gemeinsam mit Frank Schwandt, Berliner Fachmakler für Cyber-Versicherungsschutz, stellt Immanuel Bär beim Business-Talk-Frühstück seine Arbeit vor. Er wird zeigen, wie Cyber-Sicherheit in der Praxis möglich ist. Und er wird auf das persönliche Haftungsrisiko eingehen, das die EU-Richtlinie zur Cyber-Sicherheit (NIS2) für Geschäftsführer bedeutet: sie haften persönlich für eine angemessene IT-Sicherheit.
Die Anmeldung zum Business-Talk-Frühstück mit Immanuel Bär und acant-Geschäftsführer Frank Schwandt ist unter events@berlincapitalclub.de oder unter +49 30 2062976 möglich.
