# EuGH zur Haftung bei einem unbefugten Zugang zu personenbezogenen Daten durch Dritte

- Link: https://www.maier-steuerberater.de/eugh-zur-haftung-bei-einem-unbefugten-zugang-zu-personenbezogenen-daten-durch-dritte/
- Veröffentlicht: 2023-04-26T09:45:43+02:00
- Autor: Thomas Stuppy

EuGH, Pressemitteilung vom 27.04.2023 zum Schlussantrag C-340/21 vom 27.04.2023

**Bei einem unbefugten Zugang zu personenbezogenen Daten durch Dritte haftet der
Verantwortliche für mutmaßliches Verschulden und es kommt eventuell ein Ersatz des
immateriellen Schadens in Betracht.**

_Für eine Haftungsbefreiung muss der Verantwortliche nachweisen, dass er für den
Umstand, durch den der Schaden eingetreten ist, in keinerlei Hinsicht verantwortlich
ist. Die Befürchtung eines künftigen Missbrauchs personenbezogener Daten kann nur
dann einen immateriellen Schaden darstellen, wenn es sich um einen realen und sicheren
emotionalen Schaden und nicht nur um ein Ärgernis oder eine Unannehmlichkeit handelt._

Am 15. Juli 2019 verbreiteten die bulgarischen Medien die Nachricht, dass ein unbefugter
Zugang zum Informationssystem der bulgarischen Nationalen Agentur für Einnahmen (
NAP) erfolgt sei und dass verschiedene Steuer- und Sozialversicherungsdaten von 
Millionen von Menschen im Internet veröffentlicht worden seien.

Mehrere Personen, darunter V.B., verklagten die NAP auf Ersatz des immateriellen
Schadens, der sich in Sorgen und Befürchtungen des künftigen Missbrauchs ihrer personenbezogenen
Daten äußere. Nach Ansicht von V.B. hatte die NAP gegen nationale Vorschriften und
ihre Verpflichtung verstoßen, geeignete Maßnahmen zu ergreifen, um als Verantwortliche
bei der Verarbeitung personenbezogener Daten angemessene Sicherheitsstandards zu
gewährleisten. Das erstinstanzliche Gericht wies die Klage mit der Begründung ab,
dass die Veröffentlichung der Daten nicht der NAP zuzurechnen sei, dass die Beweislast
für die Geeignetheit der Maßnahmen bei V.B. liege und dass kein immaterieller Schaden
geltend gemacht werden könne.

Das mit der Kassationsbeschwerde befasste Oberste Verwaltungsgericht hat dem Gerichtshof
einige Fragen zur Auslegung der Datenschutz-Grundverordnung^(1) zur Vorabentscheidung
vorgelegt, um zu klären, unter welchen Bedingungen eine Person, deren personenbezogene
Daten, die sich im Besitz einer öffentlichen Agentur befinden, nach einem Hackerangriff
im Internet veröffentlicht wurden, Ersatz des immateriellen Schadens verlangen kann.

In den Schlussanträgen vom 27.04.2023 weist Generalanwalt Giovanni Pitruzzella zunächst
darauf hin, dass der Verantwortliche geeignete technische und organisatorische Maßnahmen
umsetzen müsse, um sicherzustellen, dass die Verarbeitung personenbezogener Daten
gemäß der Verordnung erfolge. Die Geeignetheit dieser Maßnahmen werde unter Berücksichtigung
der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen
Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten
natürlicher Personen auf der Grundlage einer Einzelfallprüfung bestimmt.

Der Generalanwalt führt erstens aus, dass das Vorliegen einer „Verletzung des Schutzes
personenbezogener Daten“ an sich nicht ausreiche, um anzunehmen, dass die vom Verantwortlichen
ergriffenen technischen und organisatorischen Maßnahmen nicht „geeignet“ gewesen
seien, um den Schutz der Daten zu gewährleisten. Bei der Auswahl der Maßnahmen müsse
der Verantwortliche eine Reihe von Faktoren berücksichtigen, darunter den „Stand
der Technik“, der eine Begrenzung des technologischen Niveaus der Maßnahmen auf 
das, was zum Zeitpunkt des Ergreifens der Maßnahmen vernünftigerweise möglich sei,
zulasse, wobei auch die Implementierungskosten zu berücksichtigen seien. Die Entscheidung
des Verantwortlichen unterliege einer möglichen gerichtlichen Prüfung der Vereinbarkeit
mit der Verordnung. Die Beurteilung der Geeignetheit der Maßnahmen müsse auf einer
Abwägung zwischen den Interessen der betroffenen Person und den wirtschaftlichen
Interessen und technischen Möglichkeiten des Verantwortlichen unter Wahrung des 
allgemeinen Verhältnismäßigkeitsgrundsatzes beruhen.

Zweitens müsse das nationale Gericht bei der Prüfung der Frage, ob die Maßnahmen
geeignet gewesen seien, eine Überprüfung vornehmen, die sich auf eine konkrete Analyse
sowohl des Inhalts der Maßnahmen als auch der Art und Weise ihrer Durchführung und
ihrer praktischen Auswirkungen erstrecke. Bei der gerichtlichen Überprüfung müssten
daher alle Faktoren berücksichtigt werden, die in der Verordnung enthalten seien.
Unter diesen Faktoren könne die Einführung von Verhaltensregeln oder Zertifizierungssystemen
ein nützliches Element der Bewertung zum Zweck der Erfüllung der Beweispflicht sein,
wobei der Verantwortliche nachweisen müsse, dass er die in den Verhaltensregeln 
vorgesehenen Maßnahmen tatsächlich ergriffen habe, während die Zertifizierung als
solche den Beweis für die Übereinstimmung der durchgeführten Verarbeitungen mit 
der Verordnung darstelle. Da diese Maßnahmen erforderlichenfalls überprüft und aktualisiert
werden müssten, habe das Gericht auch diesen Umstand zu würdigen.

Drittens obliege dem Verantwortlichen der Nachweis, dass die Maßnahmen geeignet 
seien. Gemäß dem Grundsatz der Verfahrensautonomie sei es Sache der innerstaatlichen
Rechtsordnung jedes Mitgliedstaats, die zulässigen Beweismittel und deren Beweiskraft,
einschließlich der Ermittlungsmaßnahmen, zu bestimmen.

Viertens stelle der Umstand, dass der Verstoß gegen die Verordnung von einem Dritten
begangen worden sei, für sich genommen keinen Grund dar, den Verantwortlichen von
der Haftung zu befreien. Für eine Haftungsbefreiung müsse der Verantwortliche mit
hohem Beweisniveau nachweisen, dass er für den Umstand, durch den der Schaden eingetreten
sei, in keinerlei Hinsicht verantwortlich sei. Bei der Haftung für die unrechtmäßige
Verarbeitung personenbezogener Daten handele es sich nämlich um eine verschärfte
Haftung für mutmaßliches Verschulden. Der Verantwortliche habe daher die Möglichkeit,
einen Entlastungsbeweis vorzulegen.

Schließlich ist der Generalanwalt der Ansicht, dass der Schaden, der in der Befürchtung
eines möglichen künftigen Missbrauchs der personenbezogenen Daten bestehe und dessen
Vorhandensein die betroffene Person nachgewiesen habe, einen immateriellen Schaden
darstellen könne, der einen Schadensersatzanspruch begründe. Dies gelte aber nur,
wenn es sich um einen realen und sicheren emotionalen Schaden und nicht nur um ein
Ärgernis oder eine Unannehmlichkeit handele.

## Fußnote

^(1) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. 
April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener
Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (ABl. 2016,
L 119, S. 1).

_Quelle: EuGH_