Betroffene eines Datenleaks können laut einem EuGH-Urteil Schadenersatz fordern. Ganz so leicht ist das in der Praxis aber nicht.
Der Europäischen Gerichtshofs (EuGH) hat entschieden, dass Verbraucher Schadenersatz fordern können, wenn ihre persönlichen Daten nach Hackerangriffen und Datenlecks missbraucht wurden. Entsprechende Befürchtungen stellten einen „immateriellen Schaden“ dar, sofern das vom Datenhack betroffene Unternehmen nicht nachweisen könne, dass es keine Schuld treffe, urteilten die Richter des EuGH.
„Der Verantwortliche trägt die Beweislast dafür, dass die getroffenen Schutzmaßnahmen geeignet waren“, so die Richter weiter. Bei einem Angriff auf eine bulgarische Behörde haben Hacker persönliche Daten von Millionen Menschen erbeutet und im Internet veröffentlicht.
Urteil ist „bahnbrechend und extrem verbraucherfreundlich“
Viele Personen haben daraufhin Klage auf Ersatz eines immateriellen Schadens eingereicht, da sie befürchten, dass ihre Daten missbraucht werden könnten. Christian Solmecke stuft das Urteil als „bahnbrechend“ ein. Er ist Rechtsanwalt der Kanzlei WBS.LEGAL und vertritt über 30.000 Betroffene in Fall des Facebook- und Deezer-Datenlecks im Jahr 2019.
Solmecke sagt: „Das Urteil ist extrem verbraucherfreundlich, und ich gehe davon aus, dass es dazu beitragen wird, dass Unternehmen in Deutschland und Europa noch umsichtiger mit den Daten ihrer Kunden umgehen. Denn ansonsten müssen sie nicht nur Bußgelder der Aufsichtsbehörden befürchten, sondern auch Schadenersatzforderungen ihrer Kunden.“
Nachweis für Privatpersonen schwierig
In der Praxis ist es allerdings schwierig für die Betroffenen, an ihr Geld zu kommen. Denn „als Privatperson lässt es sich in der Regel nicht nachweisen, dass ein Unternehmen gehackt und die eigenen Daten dabei abgegriffen wurden“, sagt Rüdiger Trost vom finnischen Sicherheitsanbieter WithSecure.
Laut dem IT-Experten sollten Verbraucher hellhörig werden, „wenn sie vermehrt Phishing-SMS oder -anrufe bekommen. Auch ein plötzlicher Anstieg an Spam-Mails könnte ein Indiz dafür sein, dass die eigenen Daten bei einem Datenleck verkauft und missbraucht wurden“.
