Anspruch auf Schadensersatz bei Angst vor Datenmissbrauch

Der Europäische Gerichtshof (EuGH) hat auf eine Frage der bulgarischen Finanzbehörde hin, entschieden, dass bei einem Datenleck auch ein Schadensersatz entsteht, wenn lediglich ein immaterieller Schaden entstanden ist. 

Im Jahr 2019 wurde die bulgarische Finanzbehörde Opfer eines Cyberangriffs. Durch einen unbefugten Zugang in das IT-System der Behörde wurden personenbezogene Daten im Internet veröffentlicht. Davon sollen mehr als sechs Millionen Menschen betroffen gewesen sein. 

Klage von Betroffenen

Danach gab es einige Klagen von Bürger:innen, deren Daten von dem Cyberangriff betroffen waren, gegen die Finanzbehörde. Sie befürchteten einen Missbrauch der Daten durch Dritte. In der ersten Instanz scheiterte die Klage. Begründet wurde dies einerseits damit, dass der entstandene Schaden der Behörde nicht zuzurechnen sei und die Kläger:innen auch nicht nachweisen konnten, dass die staatlichen Schutzmaßnahmen der Behörde nicht ausreichten.

Außerdem hieß es, dass ein immaterieller Schaden nicht ausreichend sei, um einen Schadensersatzanspruch zu begründen. Als gegen diese Entscheidung Rechtsmittel eingelegt wurden, legte das bulgarische oberste Verwaltungsgericht die Frage dem Europäischen Gerichtshof vor. 

EuGH bejaht Anspruch wegen immateriellen Schadens

Der EuGH stellte sich in seinem Urteil (C-340/21) zum Großteil auf die Seite der Betroffenen. Er entschied zwar, dass ein Datenleck nicht automatisch bedeutet, dass die Sicherheitsmaßnahmen der Behörde unzureichend waren, allerdings muss die Behörde nachweisen können, dass sie die erforderlichen Maßnahmen getroffen hat. Im gerichtlichen Verfahren muss dann entschieden werden, ob die Maßnahmen geeignet und ausreichend waren.

Der EuGH bejahte auch die Möglichkeit eines Schadenersatzanspruchs, wenn lediglich ein immaterieller Schaden entstanden ist. Ein immaterieller Schaden kann unter anderem dann angenommen werden, wenn die Person befürchten muss, dass die Daten zukünftig in falsche Hände gelangen. Es ist nicht notwendig, dass bereits ein Schaden entstanden ist. Bisher hatten Betroffene lediglich ein Recht darauf, darüber informiert zu werden, dass es die Daten von Datenleck betroffen waren.