EuGH: DSGVO-Schadensersatzanspruch nach Cyberangriff

Der Europäische Gerichtshof („EuGH") hat in einem Urteil vom 14. Dezember 2023 im Fall C-340/21 zu Fragen Stellung genommen, die sich im Zusammenhang mit einem Schadensersatzanspruch gemäss Art. 82 DSGVO in Folge eines Cyberangriffs auf eine bulgarische Behörde ergaben. In seiner Entscheidung stellt der EuGH klar, dass eine unbefugte Offenlegung von personenbezogenen Daten nach einem Hackerangriff eine Schadenersatzpflicht des Verantwortlichen nach Art. 82 DSGVO auslösen kann. Der Verantwortliche muss in diesem Fall nachweisen, dass die ergriffenen technisch-organisatorischen Massnahmen im Sinne der Art. 24, 32 DSGVO („TOM") „geeignet“ waren. Zudem konkretisiert der EuGH, wie nationale Gerichte die Geeignetheit der TOM zu prüfen haben. Der entschiedene Sachverhalt ist dabei ein Musterbeispiel für Hackerangriffe, wie sie täglich in sehr hoher Zahl auftreten.

Sachverhalt

Bei einem Cyberangriff auf eine bulgarische Behörde (Nationale Agentur für Einnahmen („NAP") haben Hacker auf personenbezogene Daten zugegriffen und diese anschliessend auch im Internet veröffentlicht. Mehr als sechs Millionen Personen waren betroffen. Einige Hundert Betroffene, darunter die Klägerin, erhoben anschliessend Klage gegen die NAP auf Ersatz des immateriellen Schadens, der darin besteht, dass ihre personenbezogenen Daten künftig missbräuchlich verwendet werden können. Die NAP wehrte sich damit, dass sie alle erforderlichen Abwehrmassnahmen ergriffen habe. Nachdem die Klägerin in erster Instanz obsiegte, wurde die Klage in zweiter Instanz als unbegründet abgewiesen. Das Oberste Verwaltungsgericht in Bulgarien legte sodann in dritter Instanz die europarechtsberührenden Rechtsfragen dem EuGH zur Entscheidung vor.

Vorlagefragen

Die Entscheidung betrifft sechs Fragen, die durch den EuGH entschieden wurden:

Begründet eine unbefugte Datenoffenlegung bzw. ein unbefugter Datenzugriff durch Dritte stets die Ungeeignetheit der Sicherheitsmassnahmen nach Art. 24 und 32 DSGVO?
In welcher Weise hat die Prüfung der Sicherheitsmassnahmen nach Art. 32 DSGVO durch die nationalen Gerichte zu erfolgen?
Muss der datenschutzrechtlich Verantwortliche nach Art. 5 Abs. 2, Art. 24 und Art. 32 DSGVO im Schadenersatzverfahren beweisen, dass seine Massnahmen geeignet waren?
Ist ein gerichtliches Sachverständigengutachten ein notwendiges und ausreichendes Beweismittel für die Bewertung der Geeignetheit der Sicherheitsmassnahmen im Sinne von Art. 32 DSGVO?
Wird ein Verantwortlicher allein durch den Umstand, dass der Schaden Folge einer Offenlegung durch einen Dritten ist, von seiner Haftung gemäss Art 82 Abs. 3 DSGVO befreit?
Gilt die Befürchtung eines zukünftigen Missbrauchs als immaterieller Schaden nach Art. 82 Abs. 1 und 2 DSGVO?

Unbefugte Offenlegung durch Dritte allein begründet keine Ungeeignetheit der TOM

Der EuGH legt dar, dass allein der unbefugte Zugriff bzw. die unbefugte Offenlegung nicht belegt, dass die TOM nicht geeignet waren. Nach Art. 32 DSGVO ist ein Risikomanagementsystem erforderlich, das nicht sämtliche Risken von Datenschutzverletzungen beseitigt, sondern die weitestgehende Verhinderung von Datenschutzrisiken erzielt. Die Prüfung der Geeignetheit der TOM hat in zwei Schritten zu erfolgen. Zum einen hat eine Analyse der Risiken hinsichtlich der Verletzung des Schutzes personenbezogener Daten zu erfolgen, wobei die Eintrittswahrscheinlichkeit und die Schwere der ermittelten Risiken mit einbezogen werden müssen. In einem zweiten Schritt ist die Angemessenheit der Umsetzung zu prüfen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände sowie Zwecke der Datenverarbeitung. Auch bei einer unbefugten Offenlegung hat der Verantwortliche daher die Möglichkeit, zu beweisen, dass die getroffenen Massnahmen geeignet waren.

Konkrete Prüfung der TOM durch nationale Gerichte

Nationale Gerichte haben die Geeignetheit der umgesetzten TOM konkret in den soeben dargestellten zwei Schritten zu prüfen: Zum einen ist die angestellte Risikoanalyse zu prüfen und zum anderen die Angemessenheit der darauf aufbauenden Massnahmen. Dabei gehört für die Bewertung durch das Gericht eine konkrete Prüfung der Art als auch des Inhalts der vom Verantwortlichen getroffenen Massnahmen und ihrer praktischen Auswirkungen auf das jeweilige dem Risiko entsprechende Schutzniveau.

Verantwortlicher trägt Beweislast für Geeignetheit der TOM

Im Rahmen einer auf Art. 82 DSGVO gestützten Schadensersatzklage trägt der für die betreffende Verarbeitung Verantwortliche die Beweislast dafür, dass die von ihm getroffenen Sicherheitsmassnahmen geeignet sind.

Sachverständigengutachten nicht generell ausreichend für Beurteilung von TOM

Das nationale Gericht hat dabei in einem Verfahren die Geeignetheit der Sicherheitsmassnahmen im Sinne des Art. 32 DSGVO eine eigenständige objektive Beurteilung vorzunehmen. Nicht ausreichend aber auch nicht generell notwendig ist dabei, dass das Gericht seine Entscheidung allein auf ein gerichtliches Sachverständigengutachten stützt. Das Gericht muss eine „konkrete Untersuchung sowohl der Art als auch des Inhalts der vom Verantwortlichen getroffenen Massnahmen, der Art und Weise, in der diese Massnahmen angewandt wurden und ihrer praktischen Auswirkungen auf das Sicherheitsniveau, dass der Verantwortliche […] zu gewährleisten hatte“ durchführen. “

Keine Befreiung von Schadensersatzpflicht bei Datenoffenlegungen durch Dritte

Ein Verantwortlicher wird nicht gemäss Art. 82 Abs. 3 DSGVO von der Haftung allein durch den Umstand befreit, dass der Schaden Folge eines unbefugten Zugriffs bzw. einer unbefugten Offenlegung eines Dritten im Sinne von Art. 4 Nr. 10 DSGVO ist. Der Verantwortliche hat zu beweisen, dass er in keinerlei Hinsicht für den schadensverursachenden Umstand verantwortlich ist. Es darf also kein Kausalzusammenhang zwischen der Verletzung der Verpflichtung zum Datenschutz durch den datenschutzrechtlich Verantwortlichen und dem der betroffenen Person entstandenen Schaden geben.

Befürchtung missbräuchlicher Datennutzung für immaterieller Schaden ausreichend

Für die Geltendmachung eines immateriellen Schadens ist nicht erforderlich, dass die offengelegten Daten bereits missbräuchlich verwendet wurden. Ausreichende Voraussetzung für das Vorliegen eines Schadens ist bereits der blosse Verlust über die Kontrolle der Daten und damit einhergehend die Sorge der betroffenen Person, dass eine solche Verwendung in Zukunft erfolgen könnte.

Stellungnahme

Der EuGH hat mit dieser Entscheidung die Voraussetzungen für den Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO nach einem Cyberangriff konkretisiert. Für die Praxis macht diese Entscheidung deutlich, dass jeder Cyberangriff das Potenzial hat, eine Vielzahl von Schadensersatzklagen auszulösen. Insbesondere der Umstand, dass für den Schaden nicht erforderlich ist, dass die Daten auch bereits missbräuchlich verwendet wurden, erleichtert betroffenen Personen das Einklagen von Schadenersatz. Möglichkeiten durch den nationalen Gesetzgeber, die durch Vorschriften den Schadensersatzanspruch nach Art. 82 DSGVO einschränken durch Einführung einer Bagatellgrenze hat der EuGH bereits in einer weiteren Entscheidung vom 14. Dezember 2023 (C-456/22) als nicht mit der DSGVO vereinbar gewertet. Durch die Vielzahl der betroffenen Datensubjekte besteht daher – auch bei niedrigen individuellen Schäden – weiterhin das Risiko eines erheblichen Schadens für das Unternehmen. Dies ist im heutigen Umfeld umso beachtlicher, da eine Vielzahl von Dienstleistern die unkomplizierte Prüfungsmöglichkeit der Betroffenheit betroffener Personen vom einem Cyberangriff oder Datenlecks anbieten. Unternehmen können sich nur dann effektiv verteidigen, wenn sie darlegen und beweisen können, dass ihre TOM datenschutzrechtlich geeignet waren. Daher ist es zu empfehlen, dass die TOM streng anhand einer umfassenden Risikoanalyse getroffenen werden und auch stets dem technischen Standard entsprechen. Die Bewertung sollte zu Beweiszwecken dringend lückenlos dokumentiert werden. Für die Risikobewertung, Implementierung eines angemessenen Datenschutzsystems sowie Prüfung ihres Datenschutzkonzepts stehen wir Ihnen gerne jederzeit zur Verfügung.

No items found.

Experten