Der Europäische Gerichtshof (EuGH) hat in einem wegweisenden Urteil entschieden, dass Personen, die Opfer von Datenlecks werden, Schadensersatz von den verantwortlichen Unternehmen oder Behörden verlangen können, selbst wenn kein materieller Schaden entstanden ist. Das Urteil erging im Fall mehrerer Personen, deren Daten bei einem Hackerangriff auf die bulgarische Steuerbehörde 2019 unrechtmäßig kopiert wurden, wodurch Millionen von Datensätzen betroffen waren.

Der EuGH betonte, dass bereits ein immaterieller Schaden ausreiche, um Schadensersatzansprüche geltend zu machen. Solch ein Schaden könne entstehen, wenn eine betroffene Person aufgrund eines Verstoßes gegen die Datenschutzgrundverordnung (DSGVO) befürchte, dass ihre personenbezogenen Daten von Dritten missbraucht werden könnten.

In den folgenden Verfahren müssen Gerichte prüfen, ob die getroffenen Schutzmaßnahmen der Datenhalter ausreichend waren. Die Verantwortlichen tragen die Beweislast dafür, dass sie die Daten angemessen geschützt haben. Selbst wenn Dritte, wie Hacker, unbefugten Zugang erlangt haben, kann die betroffene Stelle ersatzpflichtig sein, es sei denn, sie kann nachweisen, dass sie in keiner Weise für den Schaden verantwortlich ist.

Max Schrems von der Datenschutzorganisation noyb begrüßte das Urteil als „sehr sinnvolle Herangehensweise“. Er betonte, dass immaterielle Schäden oft schwer nachweisbar seien und daher wichtig sei, dass sie zu Schadensersatzansprüchen führen können. Gleichzeitig hob Schrems hervor, dass der EuGH betont habe, dass es keine perfekte Sicherheit gebe, aber Unternehmen dennoch angemessene Maßnahmen ergreifen müssten, um ihre Systeme sicher zu halten.

Datenlecks betreffen jährlich Millionen von Menschen, wenn unbefugt auf personenbezogene Daten zugegriffen wird. Hacking, unbezahlte Ransomware-Erpressungen und technische Unzulänglichkeiten sind häufige Ursachen für solche Sicherheitsverletzungen bei Unternehmen und Behörden.