Immaterielle Schäden durch Datenverlust - DSGVO-Judikatur
Das Thema immaterielle Schäden im Falle von Datenverlusten beschäftigt zunehmend Verantwortliche, Betroffene und Gerichte. Die gute Nachricht, nicht jeder Datenverlust stellt einen immateriellen Schaden dar oder führt automatisch zur Haftung. Die schlechte Nachricht, Verantwortliche haben zu beweisen, dass sie keine Schuld am Datenverlust trifft.
Eine weitere gute Nachricht ist, dass eine Schadenersatzpflicht infolge Verletzung von Datenschutzbestimmungen grundsätzlich versicherbar ist. Dies gilt sowohl für Vermögensschäden und immaterielle Schäden. Dass Letztere keine Vermögensschäden sind und daher ausdrücklich mitversichert sein müssen, stellte der OGH 2009 klar (OGH 7Ob19/09h RS0125012 RIS Dokument - bka.gv.at).
Regelungen der DSGVO
Mit der DSGVO kamen Regelungen zu Strafen und Schadenersatz. So regelt Art. 82 Abs. 1 DSGVO: „Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.“
Anfangs bemerkte man von den immateriellen Schäden wenig, aber mittlerweile fordern europaweit Betroffene von Datenschutzverletzungen auch immateriellen Schadenersatz. In Österreich wurde 2024 die Stadtgemeinde Baden vom Landgericht in der Neustadt zu 500 € Schadenersatz infolge eines immateriellen Schadens verurteilt.
Der Fall Baden
Aufgrund ungeeigneter Sicherheitsvorkehrungen kam es im Jahr 2022 zu Datendiebstählen über ein Webservice der Gemeinde. Betroffen waren 33.000 Meldesätze sowie Zahlungsvorgänge und Daten der „Baden Card“. Eine Betroffene klagte aufgrund ihrer Befürchtung zukünftiger missbräuchlicher Datenverwendung einen immateriellen Schaden von 500 € ein und bekam Recht. Der Betrag ist gering, da nur eine Person geschädigt war und ihr Recht geltend machte. Bei 30.000 Datensätzen sind wohl eher ein paar Hundert oder Tausend Betroffene zu erwarten.
Mit dem Urteil hat das Landesgericht Wiener Neustadt wohl die jüngsten Entscheidungen des EuGH umgesetzt.
Entscheidungen des EuGH
Im Dezember 2023 hat dieser die Voraussetzungen für Schadenersatz in Folge von Datenlecks näher präzisiert. Der EuGH hatte sich mit Vorfragen zum Thema immaterielle Schäden infolge einer Verletzung der Datenschutzbestimmungen auseinanderzusetzen. (Rechtssache C-340/21 CURIA)
Er stellte fest, dass eine Datenschutzverletzung per se keinen immateriellen Schaden darstelle. Dieser kann jedoch bereits bei berechtigter Befürchtung, dass Daten in Zukunft missbräuchlich Verwendung finden, vorliegen. In einem weiteren Urteil stellte er klar, dass die DSGVO auch keine Bagatellgrenze vorsieht. Ob der Schaden nun bei 100, 500 oder mehreren tausend Euro liegt, ist somit egal. (Rechtssache C‑456/22 CURIA)
Zur Frage der Haftung Verantwortlicher führte der EuGH aus, dass ein Verantwortlicher grundsätzlich haftet, wenn es zu einer Datenverarbeitung entgegen den DSGVO-Bestimmungen kommt (Art. 82 Abs. 2 und 3 DSGVO). Er haftet jedoch nicht, wenn er den Nachweis erbringt, kein Verschulden daran zu haben. Insbesondere ob geeignete technischen und organisatorischen Sicherheitsmaßnahmen (Art. 32 DSGVO) getroffen wurden, ist zu beweisen. Dieser Grundsatz gilt, auch wenn allein eigenverantwortliche Dritte, wie Datendiebe, die Daten veröffentlichen. Der Verantwortliche hat zu beweisen, dass ihn an den Umständen des Datenverlustes kein Verschulden trifft.
Fazit
Es bleibt die Empfehlung einer Haftpflichtversicherung infolge von Datenschutzverletzungen sowohl für Vermögens- als auch für immaterielle Schäden. Wichtig ist, dass das Leistungspaket Haftungsprüfung, Übernahme der Abwehr unberechtigter Forderungen oder Zahlung des berechtigten Schadenersatzes bis zur Ausschöpfung der Versicherungssumme beinhaltet.
Melden Sie sich bei uns, wir beraten Sie gerne eingehender zu diesem brisanten Thema!
| 
